VMware remediază vulnerabilitatea Spring4Shell RCE prezentă în mai multe produse

VMware a publicat recent actualizări de securitate pentru vulnerabilitatea critică de rip remote code execution cunoscută sub numele de Spring4Shell, care afectează mai multe dintre produsele sale din cloud și virtualizare.

O listă a produselor VMware afectate de Spring4Shell este disponibilă într-un anunț al companiei. În cazul în care nu este disponibilă o soluție de remediere, VMware a lansat o soluție provizorie.

Vulnerabilitatea Spring4Shell, regăsită ca CVE-2022-22965, este o vulnerabilitate de tip remote code execution în cadrul framework-ului Spring Core Java, care poate fi exploatată fără autentificare și un scor de 9,8 din 10 pe scara CVSS.

Un atacator care obține acces la aplicațiile vulnerabile poate executa comenzi arbitrare și poate prelua controlul complet al unui sistem vizat.

Datorită implementării pe scară largă a Spring Framework pentru dezvoltarea de aplicații Java, analiștii de securitate cred că atacatorii pot profita de vulnerabilitatea Spring4Shell.

Un exploit funcțional a fost publicat pe GitHub chiar înainte ca o actualizare de securitate să fie disponibilă, ceea ce duce la creșterea șanselor de exploatare.

Vulnerabilitatea afectează aplicațiile Spring MVC și Spring WebFlux care rulează pe JDK 9+. Pentru ca exploatarea să aibă succes este necesar ca aplicația să ruleze Tomcat ca o implementare WAR.

Versiunile remediate sunt:

• Spring Framework 5.3.18 și Spring Framework 5.2.20;
• Spring Boot 2.5.12;
• Spring Boot 2.6.6.6 (în curând va fi lansat).

VMWare a declarat că produsele care au fost afectate sunt următoarele:

• VMware Tanzu Application Service for VMs – versiunile de la 2.10 până la 2.13;
• VMware Tanzu Operations Manager – versiunile de la 2.8 până la 2.9;
• VMware Tanzu Kubernetes Grid Integrated Edition (TKGI) – versiunile de la 1.11 până la 1.13.

Furnizorul a pus deja la dispoziție actualizări de securitate pentru primele două produse și a remediat mai multe versiuni dar soluția permanentă pentru versiunea VMware Tanzu Kubernetes Grid Integrated Edition este încă în lucru.

Pentru aceste implementări, VMWare a publicat instrucțiuni de remediere create pentru a ajuta administratorii să își securizeze temporar sistemele până la lansarea actualizărilor de securitate.

VMWare a observat că exploatarea Spring4Shell este complexă în TKGI, astfel încât instrucțiunile de remediere și viitoarea actualizare de securitate sunt furnizate pentru a evita rezultatele de tip false positive.

Recomandările oficiale de securitate ar trebui urmate cât mai curând posibil pentru ca utilizatorii să fie protejați împotriva posibilelor atacuri.

Sursa: https://www.bleepingcomputer.com/news/security/vmware-patches-spring4shell-rce-flaw-in-multiple-products/