İkinci Log4Shell Dalgası Mı Geliyor? Spring4Shell Yayılmaya Devam Ediyor
Spring Core Java framework’deki ‘Spring4Shell’ adlı yeni bir sıfırıncı gün güvenlik açığı açıklandı ve uygulamalarda kimliği doğrulanmamış uzaktan kod yürütülmesine izin veriyor. Spring, yazılım geliştiricilerin Java uygulamalarını kurumsal düzeyde özelliklerle hızlı ve kolay bir şekilde geliştirmesine olanak tanıyan çok popüler bir uygulama framework’u. Bu uygulamalar daha sonra Apache Tomcat gibi sunucularda bağımsız paketler olarak dağıtılıyor.
Dün, CVE-2022-22963 olarak izlenen yeni bir Spring Cloud Function güvenlik açığı açıklandı ve yakında PoC’de yayınlanması bekleniyor. Bugün, bu sıfır günlük güvenlik açığına yönelik bir istismar kısaca sızdırıldı ve ardından kaldırıldı, ancak siber güvenlik araştırmacıları kodu çoktan indirmişti. O zamandan beri çok sayıda siber güvenlik araştırmacısı ve güvenlik firması, güvenlik açığının geçerli olduğunu ve riskin büyük olduğunu doğruladı.
Başlangıçta Java 9 veya üzeri sürümlerde çalışan tüm Spring uygulamalarını etkileyeceği düşünülürken, daha sonra bir Spring uygulamasının savunmasız olması için karşılanması gereken belirli gereksinimlerin olduğu belirlendi. Siber güvenlik firması Praetorian, zafiyetten yararlanmak için belirli yapılandırmalara dayandığını da doğruladı. Praetorianblog gönderisinde , “İstismar, DataBinder’ın etkin olduğu endpoint gerektirir (örneğin, istek gövdesindeki verileri otomatik olarak çözen bir POST isteği) “Örneğin, Spring, Apache Tomcat’e dağıtıldığında, WebAppClassLoader’a erişilebilir, bu da bir saldırganın alıcıları ve ayarlayıcıları çağırarak sonuçta diske kötü amaçlı bir JSP dosyası yazmasına olanak tanır.” “Ancak, Spring, Gömülü Tomcat Servlet Container kullanılarak dağıtılırsa, sınıf yükleyici, sınırlı erişime sahip bir LaunchedURLClassLoader olur.” “Belirli yapılandırmalarda, yalnızca bir saldırganın savunmasız bir sisteme hazırlanmış bir POST isteği göndermesini gerektirdiğinden, bu sorunun istismarı basittir. Ancak, farklı yapılandırmaların kullanılması, saldırganın etkili olacak payload’ları bulmak için ek araştırma yapmasını gerektirecektir.” dedi.
Praetorian’ın blog gönderisinde, Spring Core DataBinder işlevine belirli ‘Container” geçirilmesine izin vermeyerek Spring4Shell saldırılarını kısmen azaltmanın bir yolunu olduğunu vurguluyor.
Bu güvenlik açığının şu anda bir yaması bulunmadığından, Spring uygulamalarını kullanan sistemlerin azaltıcı önlemleri mümkün olan en kısa sürede dağıtmaları önemle tavsiye ediliyor.
Yeni Log4Shell mi?
Spring, Java uygulamaları için çok popüler bir uygulama framework’u ve saldırganların savunmasız uygulamaları taradıkça bunun yaygın saldırılara yol açabileceğine dair önemli endişeleri artırmakta. Saldırı, savunmasız bir uygulamaya yönelik basit bir HTTP POST gerektirdiğinden, saldırganlar interneti tarayan ve savunmasız sunuculardan otomatik olarak yararlanan komut dosyaları oluşturabilecek. Saldırganlar, sunucuda komutları yürütmek için bu istismarları kullanabilir ve bu da cihaza tam uzaktan erişime izin veriyor.
Kaynak: bleepingcomputer.com
