Уязвимость BDU:2022-01628
Идентификатор: BDU:2022-01628.
Наименование уязвимости: Уязвимость механизма маршрутизации модуля Spring для продвижения бизнес-логики с помощью функций Spring Cloud Function, позволяющая нарушителю получить несанкционированный доступ к локальным ресурсам или вызвать отказ в обслуживании.
Описание уязвимости: Уязвимость механизма маршрутизации модуля Spring для продвижения бизнес-логики с помощью функций Spring Cloud Function связана с недостатками процедуры нейтрализации особых элементов в выходных данных, используемых входящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к локальным ресурсам или вызвать отказ в обслуживании с помощью специально созданного SpEL-выражения
Уязвимое ПО: Сетевое средство, Сетевое программное средство Pivotal Software Inc. Spring Cloud Function до 3.1.7 | Сетевое средство, Сетевое программное средство Pivotal Software Inc. Spring Cloud Function до 3.2.3 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 29.03.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:N/I:P/A:P
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,4)
Возможные меры по устранению:
Установка обновлений из доверенных источников
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуем устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование межсетевых экранов прикладного уровня (WAF) в режиме блокировки для фильтрации HTTP-запросов.
Информация от производителя:
https://www.cyberkendra.com/2022/03/spring4shell-details-and-exploit-code.html
https://tanzu.vmware.com/security/cve-2022-22963.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-22963.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://www.cyberkendra.com/2022/03/spring4shell-details-and-exploit-code.html
https://tanzu.vmware.com/security/cve-2022-22963
http://packetstormsecurity.com/files/173430/Spring-Cloud-3.2.2-Remote-Command-Execution.html
