VMware Spring, bulut tabanlı uygulamalar da dahil olmak üzere güçlü java uygulamaları oluşturmak için yazmanıza, yönetmenizi sağlayan açık kaynaklı bir java aracı.
VMware Spring Cloud Function
Spring ekosisteminin bir parçası, Spring kodunu doğrudan Alibaba, Amazon, Azure, Netflix ve çok daha fazlasından bilinen bulut hizmetlerine bağlayabileceğiniz Spring Cloud adlı bir dizi bileşenden oluşuyor. Spring Cloud’da, Spring Cloud Function adlı bir alt bileşen var ve bu, ” işlevsel” hizmetsiz programlama denilen şeyi yapmanıza izin veriyor; burada, belirli web istekleri geldiğinde çağrılan Java işlevlerini çevreleyen Spring sisteminin bunu nasıl çalıştıracağını bilmenize gerek kalmadan yapabiliyor olması. Ancak, Spring Cloud Function bileşeninde , Spring Expression Resource Access Vulnerability olarak da bilinen CVE-2022-22963 adlı tehlikeli bir zafiyet bulunmakta. Bu saldırganların RCE zafiyetini istismar etmesini sağlıyor.
PoC’ler mevcut
Java kodunun gelen Spring Cloud Function isteklerine nasıl enjekte edileceğini ve bu kodun istenmeyen bir programı çalıştırmak için nasıl kullanılacağını gösteren kavram kanıtı (PoC) kodu internette mevcut durumda.
Güncelleme yapın
Spring Cloud Function modülünün herhangi bir hizmetinizde kullanıyorsanız , modülün 3.1 veya 3.2 versiyonunua sahip olmanıza bağlı olarak hemen 3.1.7 veya 3.2.3 sürümüne güncelleyin. VMware’in bu hatayla ilgili resmi tavsiyesinin, sürüm 3’ün altındaki Spring Cloud Function modüllerinin etkilendiğini, ancak artık desteklenmediğini belirttiğini unutmayın; bu nedenle, gerekli yamayı almak için üç sürümden birine geçmeniz gerekecek.
Özetle
- CVE-2022-22963: Spring Cloud Function’ı 3.1.6 veya 3.2.2 sürümüne yükseltin.
- CVE-2022-22965: Spring Framework’ü 5.2.20 veya 5.3.18 sürümüne yükseltin.
- Spring Boot package : Spring Boot sürümü 2.5.12 veya 2.6.6’ya yükseltin.
Kaynak: nakedsecurity.sophos.com