Spring Framework: Spring4Shell

Refer: 

tunCERT/Vuln.2022-157

Version: 

1.1

Date version: 

2022-04-11

Score cvss: 

9.80

Classification: 

  • Très critique

Impact: 

  • Déni de service
  • Exécution de code arbitraire
  • Perte de confidentialité
  • Perte d'intégrité

Plateforme: 

  • Indépendant de la Plate-forme

Conséquence: 

Exécution de code arbitraire

Logiciels impactés (s) :

Spring

  • Spring Framework 5.3.x antérieures à 5.3.18, 5.2.x antérieures à 5.2.20

Description: 

Une vulnérabilité a été découverte dans Spring Framework. L'exploitation de cette faille pourrait permettre à un attaquant distant d'exécuter du code arbitraire. NB: Une preuve de concept à été publiée sur le net.

Solution: 

Mettre à jour Spring Framework avec la version 5.3.18 et 5.2.20

Lien: 

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

Identificants du problème: 

CVE-2022-22965

Documentation additionnelle: 

Avis de sécurité Spring Framwork
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
Bulletin de sécurité VMware
https://tanzu.vmware.com/security/cve-2022-22965
Bulletin de sécurité VMware VMSA-2022-0010
https://www.vmware.com/security/advisories/VMSA-2022-0010.html
Bulletin de sécurité Fortinet FG-IR-22-072
https://www.fortiguard.com/psirt/FG-IR-22-072
Bulletin de sécurité SonicWall SNWLID-2022-0005
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0005
Bulletin de sécurité cisco-sa-java-spring-rce-Zx9GUc67
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
Bulletin de sécurité Red Hat
https://access.redhat.com/security/cve/CVE-2022-22965
Bulletin de sécurité Apache tomcat
https://tomcat.apache.org/

Date de publication: 

2022-03-31

Référence: 

157