-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.03 #############################
Titel : 0day kwetsbaarheid verholpen in Spring Core Framework
Advisory ID : NCSC-2022-0221
Versie : 1.03
Kans : high
CVE ID : CVE-2022-22965
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Toegang tot gevoelige gegevens
Uitgiftedatum : 20220401
Toepassing : Spring Framework
Versie(s) : < 5.2.20
< 5.3.18
Platform(s) :
Update
Er is een CVE-kenmerk toegekend aan de kwetsbaarheid:
CVE-2022-22965.
Het NCSC heeft een publieke GitHub-pagina geopend, waarin
bijgehouden wordt van welke software bekend is dat ze ontwikkeld is
met behulp van Spring Framework en in hoeverre de kwetsbaarheid
aanwezig is. Hierin wordt bijgehouden wanneer updates beschikbaar
zijn zodra die informatie bekend wordt.
Beschrijving
Er is een kwetsbaarheid ontdekt in Spring Core Framework. Spring
Core Framework is een set van Java libraries waarmee op
gestructureerde wijze applicaties kunnen worden ontwikkeld die
vervolgens zowel standalone kunnen draaien of in
webapplicatie-omgevingen als Tomcat.
Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige
code uit te voeren in de scope van de ontwikkelde applicatie, en
mogelijk daarmee toegang kan krijgen tot gevoelige informatie binnen
die applicatie. Omdat niet valt vast te stellen met welke rechten de
applicatie actief is, kan misbruik van deze kwetsbaarheid mogelijk
leiden tot de uitvoer van willekeurige code met verhoogde rechten op
het onderliggende systeem.
Voor deze kwetsbaarheid is nog geen CVE-kenmerk bekend gesteld.
Om onderscheid te maken heeft deze kwetsbaarheid de naam
"Spring4Shell" gekregen.
Deze kwetsbaarheid is een andere dan de kwetsbaarheid in Spring
Cloud Function (CVE-2022-22963) waarvoor het NCSC beveiligingsadvies
NCSC-2022-0220 heeft uitgebracht. Doordat beide kwetsbaarheden zeer
kort op elkaar zijn gepubliceerd, is hier veel verwarring over
ontstaan.
Inmiddels is Proof-of-Concept code verschenen waarmee de
kwetsbaarheid kan worden aangetoond, maar nog niet misbruikt. Er
worden echter (nog onbevestigde) meldingen gemaakt dat er pogingen
worden ondernomen om deze kwetsbaarheid actief te misbruiken.
Vooralsnog zijn nog geen geslaagde pogingen waargenomen. Dit heeft
vooral te maken met het feit dat er aan diverse randvoorwaarden moet
worden voldaan, zoals JDK versie 9 of hoger, het gebruiken van
Spring Beans, Spring Parameter Binding en die binding moet
geconfigureerd zijn om van niet standaard types als POJO gebruik te
maken.
Mogelijke oplossingen
-= Spring.io =-
Spring.io heeft updates beschikbaar gesteld om de kwetsbaarheid te
verhelpen in Spring Framework versie 5.3.18 en 5.2.20. Voor meer
informatie zie:
https://spring.io/blog/2022/03/31
/spring-framework-rce-early-announcement
Ook zijn diverse mitigerende maatregelen gepubliceerd door
beveiligingsonderzoekers. De mitigerende maatregelen die op dit
moment beschikbaar zijn gesteld vereisen aanpassingen aan de code
van de getroffen applicatie.
Zo kan een aanval, die in een serie van stappen moet worden
uitgevoerd, worden gestopt door blacklisting toe te passen op de
functie DataBinder.
Informatie hierover kan worden verkregen via onderstaande link:
https://www.lunasec.io/docs/blog
/spring-rce-vulnerabilities#applying-mitigations
Extra achtergrondinformatie, en methodes om te bepalen of een
applicatie kwetsbaar is, vindt u op onderstaande link:
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
Het NCSC houdt de ontwikkelingen in de gaten en heeft een publieke
GitHub-pagina geopend waarin de ontwikkelingen rond de kwetsbaarheid
actueel wordt bijgewerkt zodra informatie beschikbaar komt en
bevestigd kan worden. Op deze GitHub is ook een lijst met software
te vinden waarvan bekend is geworden dat ze ontwikkeld is met behulp
van Spring Framework, of en zo ja hoe ze kwetsbaar is voor deze
kwetsbaarheid en of er updates beschikbaar zijn of komen.
Deze GitHub-pagina kunt u vinden op onderstaande link:
https://github.com/NCSC-NL/spring4shell
Hyperlinks
https://www.lunasec.io/docs/blog/spring-rce-vulnerabilities/
https://www.contrastsecurity.com/security-influencers
/new-spring4shell-vulnerability-confirmed-what-it-is-and-how-to-b
e-prepared
https://www.bleepingcomputer.com/news/security
/new-spring-java-framework-zero-day-allows-remote-code-execution/
https://isc.sans.edu/forums/diary
/Java+Springtime+Confusion+What+Vulnerability+are+We+Talking+Abou
t/28500/
https://github.com/NCSC-NL/spring4shell
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
wsDVAwUBYkb4PBypWqw/ZiuAAQrubwwAoI+lMsCS4rQgA/H9zWEyN/F17ZfTPVtV
gTRJ8akRdwR6Zbc4RxAxco4+zExu6tOChk/ARUCPoj4fKEijlGzqpUIeB2/grcCz
2o+yLEa5qs937n5Nv2ktggqS6TFHqnKyXMd74G2k3zUaDA5oG8j0clsVK/XwV6uW
ZjslzVHL9Wb9FjMm6BycRyVe8XFQARCQxiG069h/uJYRWfRUFz8bS3Qwv0Mmfhyl
9fkm3ZckNLXXn3REPAKUnUoptKgpdWI+7a2jxi8a06Kip4vIhm4W3Df4i7eSQ4rP
CZPxTYz/tvMH3vSwDRz/brAtUvW2Rzb4ryZaTZGRyLNfvAK4mqr+MkFcDMHJDlNj
bvs3IU3fYDfEaZK41YLhJf1BXFUuB1inPYHm2xqUISKCO08bYCluQNTJYxEuX0ai
AIKva0WN8P9Q7K/teDr22ifrW2W48ennzizFsmhSBBa2+bBYzsBMAW6Aq4ihlHUk
uRqrVa0fsLfurvbcaoWsaL9HZnqaNI9x
=Zzu3
-----END PGP SIGNATURE-----
