-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.02 #############################
Titel : 0day kwetsbaarheid verholpen in Spring Core Framework
Advisory ID : NCSC-2022-0221
Versie : 1.02
Kans : high
CVE ID :
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Toegang tot gevoelige gegevens
Uitgiftedatum : 20220331
Toepassing : Spring Framework
Versie(s) : < 5.2.20
< 5.3.18
Platform(s) :
Update
Spring.io heeft updates beschikbaar gesteld die de kwetsbaarheid
verhelpen. Zie "Mogelijke oplossingen" voor meer informatie.
Beschrijving
Er is een kwetsbaarheid ontdekt in Spring Core Framework. Spring
Core Framework is een set van Java libraries waarmee op
gestructureerde wijze applicaties kunnen worden ontwikkeld die
vervolgens zowel standalone kunnen draaien of in
webapplicatie-omgevingen als Tomcat.
Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige
code uit te voeren in de scope van de ontwikkelde applicatie, en
mogelijk daarmee toegang kan krijgen tot gevoelige informatie binnen
die applicatie. Omdat niet valt vast te stellen met welke rechten de
applicatie actief is, kan misbruik van deze kwetsbaarheid mogelijk
leiden tot de uitvoer van willekeurige code met verhoogde rechten op
het onderliggende systeem.
Voor deze kwetsbaarheid is nog geen CVE-kenmerk bekend gesteld.
Om onderscheid te maken heeft deze kwetsbaarheid de naam
"Spring4Shell" gekregen.
Deze kwetsbaarheid is een andere dan de kwetsbaarheid in Spring
Cloud Function (CVE-2022-22963) waarvoor het NCSC beveiligingsadvies
NCSC-2022-0220 heeft uitgebracht. Doordat beide kwetsbaarheden zeer
kort op elkaar zijn gepubliceerd, is hier veel verwarring over
ontstaan.
Inmiddels is Proof-of-Concept code verschenen waarmee de
kwetsbaarheid kan worden aangetoond, maar nog niet misbruikt. Er
worden echter (nog onbevestigde) meldingen gemaakt dat er pogingen
worden ondernomen om deze kwetsbaarheid actief te misbruiken.
Vooralsnog zijn nog geen geslaagde pogingen waargenomen. Dit heeft
vooral te maken met het feit dat er aan diverse randvoorwaarden moet
worden voldaan, zoals JDK versie 9 of hoger, het gebruiken van
Spring Beans, Spring Parameter Binding en die binding moet
geconfigureerd zijn om van niet standaard types als POJO gebruik te
maken.
Mogelijke oplossingen
-= Spring.io =-
Spring.io heeft updates beschikbaar gesteld om de kwetsbaarheid te
verhelpen in Spring Framework versie 5.3.18 en 5.2.20. Voor meer
informatie zie:
https://spring.io/blog/2022/03/31
/spring-framework-rce-early-announcement
Ook zijn diverse mitigerende maatregelen gepubliceerd door
beveiligingsonderzoekers. De mitigerende maatregelen die op dit
moment beschikbaar zijn gesteld vereisen aanpassingen aan de code
van de getroffen applicatie.
Zo kan een aanval, die in een serie van stappen moet worden
uitgevoerd, worden gestopt door blacklisting toe te passen op de
functie DataBinder.
Informatie hierover kan worden verkregen via onderstaande link:
https://www.lunasec.io/docs/blog
/spring-rce-vulnerabilities#applying-mitigations
Extra achtergrondinformatie, en methodes om te bepalen of een
applicatie kwetsbaar is, vindt u op onderstaande link:
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
Het NCSC houdt de ontwikkelingen in de gaten en werkt waar nodig dit
beveiligingsadvies bij.
Hyperlinks
https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities/
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
https://www.bleepingcomputer.com/news/security
/new-spring-java-framework-zero-day-allows-remote-code-execution/
https://isc.sans.edu/forums/diary
/Java+Springtime+Confusion+What+Vulnerability+are+We+Talking+Abou
t/28500/
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=TmPM
-----END PGP SIGNATURE-----
