-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.01 #############################
Titel : 0day kwetsbaarheid ontdekt in Spring Core Framework
Advisory ID : NCSC-2022-0221
Versie : 1.01
Kans : high
CVE ID :
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Toegang tot gevoelige gegevens
Uitgiftedatum : 20220331
Toepassing : VMware Spring Framework
Versie(s) : <= 5.3.17
Platform(s) :
Update
Er is aanvullende informatie gepubliceerd waarmee kan worden bepaald
of een applicatie kwetsbaar is. De link naar de onderzoekers is
toegevoegd in "Mogelijke oplossingen"
Beschrijving
Er is een kwetsbaarheid ontdekt in Spring Core Framework. Spring
Core Framework is een set van Java libraries waarmee op
gestructureerde wijze applicaties kunnen worden ontwikkeld die
vervolgens zowel standalone kunnen draaien of in
webapplicatie-omgevingen als Tomcat.
Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige
code uit te voeren in de scope van de ontwikkelde applicatie, en
mogelijk daarmee toegang kan krijgen tot gevoelige informatie binnen
die applicatie. Omdat niet valt vast te stellen met welke rechten de
applicatie actief is, kan misbruik van deze kwetsbaarheid mogelijk
leiden tot de uitvoer van willekeurige code met verhoogde rechten op
het onderliggende systeem.
Voor deze kwetsbaarheid is nog geen CVE-kenmerk bekend gesteld.
Om onderscheid te maken heeft deze kwetsbaarheid de naam
"Spring4Shell" gekregen.
Deze kwetsbaarheid is een andere dan de kwetsbaarheid in Spring
Cloud Function (CVE-2022-22963) waarvoor het NCSC beveiligingsadvies
NCSC-2022-0220 heeft uitgebracht. Doordat beide kwetsbaarheden zeer
kort op elkaar zijn gepubliceerd, is hier veel verwarring over
ontstaan.
Inmiddels is Proof-of-Concept code verschenen waarmee de
kwetsbaarheid kan worden aangetoond, maar nog niet misbruikt. Er
worden echter (nog onbevestigde) meldingen gemaakt dat er pogingen
worden ondernomen om deze kwetsbaarheid actief te misbruiken.
Vooralsnog zijn nog geen geslaagde pogingen waargenomen. Dit heeft
vooral te maken met het feit dat er aan diverse randvoorwaarden moet
worden voldaan, zoals JDK versie 9 of hoger, het gebruiken van
Spring Beans, Spring Parameter Binding en die binding moet
geconfigureerd zijn om van niet standaard types als POJO gebruik te
maken.
Mogelijke oplossingen
De kwetsbaarheid betreft een zogeheten 0day-kwetsbaarheid en er zijn
(nog) geen updates beschikbaar om de kwetsbaarheid te verhelpen.
Wel zijn diverse mitigerende maatregelen gepubliceerd door
beveiligingsonderzoekers. De mitigerende maatregelen die op dit
moment beschikbaar zijn gesteld vereisen aanpassingen aan de code
van de getroffen applicatie.
Zo kan een aanval, die in een serie van stappen moet worden
uitgevoerd, worden gestopt door blacklisting toe te passen op de
functie DataBinder.
Informatie hierover kan worden verkregen via onderstaande link:
https://www.lunasec.io/docs/blog
/spring-rce-vulnerabilities#applying-mitigations
Extra achtergrondinformatie, en methodes om te bepalen of een
applicatie kwetsbaar is, vindt u op onderstaande link:
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
Het NCSC houdt de ontwikkelingen in de gaten en werkt waar nodig dit
beveiligingsadvies bij.
Hyperlinks
https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities/
https://www.bleepingcomputer.com/news/security
/new-spring-java-framework-zero-day-allows-remote-code-execution/
https://isc.sans.edu/forums/diary
/Java+Springtime+Confusion+What+Vulnerability+are+We+Talking+Abou
t/28500/
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=sl6L
-----END PGP SIGNATURE-----
