Уязвимости в Spring Framework включены в обновленную базу поиска уязвимостей Solar appScreener
"Ростелеком-Солар" обновил базу поиска уязвимостей анализатора кода приложений Solar appScreener. В обновление вошла обнаруженная критическая уязвимость , затрагивающая работу Java-фреймворка с открытым исходным кодом Spring. Баг позволяет удаленно выполнить произвольный код без аутентификации, благодаря чему по CVSS ему была присвоена оценка опасности угрозы: 9.8/10 баллов.
Уязвимость, выявленная в модуле Spring Core, позволяет привязывать данные в http-запросе к полям объектов приложения. Баг содержится в реализации метода getCachedIntrospectionResults, который может быть использован для несанкционированного доступа к этим объектам при передаче данных имен классов этих объектов через указанный HTTP-запрос.
Уязвимость присутствует в приложениях Spring MVC и Spring WebFlux, работающих под Java Development Kit (версии 9+), эксплуатация которых может привести к компрометации огромного количества серверов. Наиболее высокой угрозе подвержены корпоративные Java-приложения на базе Spring Framework с правами root, так как уязвимость в них позволяет скомпрометировать всю систему. Уязвимость CVE-2022-22965 в версиях Spring Framework 5.3.18 и 5.2.20.
"Текущая ситуация опасна тем, что во многих организациях не выстроен процесс мониторинга уязвимостей, и несмотря на оперативно выпущенные патчи и распространение рекомендаций по устранению уязвимостей, часть компаний по-прежнему находится под угрозой, — Даниил Чернов, директор Центра Solar appScreener компании "Ростелеком-Солар". — Наша исследовательская лаборатория следит за появлением уязвимостей нулевого дня, а команда разработчиков оперативно отражает их в базе поиска уязвимостей Solar appScreener. Так, с начала апреля база правил поиска уязвимостей постоянно пополняется другими обнаруженными багами в Spring: CVE-2022-22963, CVE-2022-22946, CVE-2022-22947, CVE-2022-22950".
О компании "Ростелеком-Солар"
, компания группы ПАО "Ростелеком", – национальный провайдер сервисов и технологий кибербезопасности. Под защитой – 50+ компаний из Топ-100 российского бизнеса. Ключевые направления – аутсорсинг ИБ, разработка собственных продуктов, интеграционные ИБ-проекты. Компания предлагает сервисы первого в РФ и лидирующего на рынке коммерческого SOC – Solar JSOC, а также экосистему управляемых сервисов ИБ – Solar MSS. Линейка собственных продуктов включает DLP-решение Solar Dozor, шлюз веб-безопасности Solar webProxy, IdM-систему Solar inRights, анализатор кода Solar appScreener и систему мониторинга эффективности труда Solar addVisor. Предоставляются compliance-услуги, в том числе по защите АСУ ТП. Штат компании 1100+ специалистов. Имеются представительства в Москве, Нижнем Новгороде, Самаре и Хабаровске. Деятельность компании лицензирована ФСБ России, ФСТЭК России и Министерством обороны России.
