Mises à jour récentes de cet article
Date |
Mise à jour |
18 avril 2022 |
Ajout de la détection du contenu ENS AMCore le plus récent pour tous les échantillons connus. |
7 avril 2022 |
Ajout du lien vers le bulletin de sécurité associé. |
4 avril 2022 |
CVE-2022-22947 ajouté et mise à jour du titre. |
31 mars 2022 |
Ajout de signatures définies par l’utilisateur Network Security Platform (UDS) et des nouveaux ID CVE-2022-22965 et CVE-2022-22950. |
30 mars 2022 |
Publication initiale. |
Nous effectuons activement le suivi de quatre vulnérabilités distinctes dans plusieurs composants de printemps. Le printemps est un Java Framework que VMware possède. La confusion a été confondue autour de ces vulnérabilités de printemps. Nous pouvons confirmer que nous effectuons le suivi de quatre vulnérabilités associées à Spring, qui sont des vulnérabilités uniques.
- VMware a récemment publié la première vulnérabilité, CVE-2022-22963 : vulnérabilité de type accès aux ressources d’expression de printemps. Cette vulnérabilité réside au niveau du composant Cloud printemps. Cette vulnérabilité est considérée comme moyenne, avec une score CVSS ( 3.0 ) du code exploit semble être une exécution de 5.4. code à distance (RCE) non authentifiée. Si elle est confirmée, nous pensons que la score actuelle CVSS de 5.4 doit être ajustée.
- La deuxième vulnérabilité, mise à jour en tant que CVE-2022-22965, a été observée pour la première fois via exploit code divulgué dans Twitter. Dans le code exploit divulgué, ce problème semble être dû à l’échec ou à une défaillance partielle du patch pour un bogue datant de plus de dix ans (CVE-2010-1622.) Il s’agit d’une source d’RCE non authentifiée dans le composant Spring beans. Nous avons vérifié que le code de exploit divulguée fonctionne en toute reproduction.
- La troisième vulnérabilité, CVE-2022-22950 : vulnérabilité de type déni de service liée à l’expression de printemps, dans la structure de printemps, peut provoquer une condition de déni de service (DOS).
- La quatrième vulnérabilité, CVE-2022-22947 : Spring Cloud Gateway injection de code, se trouve dans le Cloud Spring Gateway lorsque le Gateway poste d’activation de l’actionneur est activé, exposé et non sécurisé. Ce problème peut entraîner un RCE sur l’hôte distant.
Il est conseillé aux clients d’appliquer le patch en fonction des instructions du fournisseur.
En raison de la gravité de ces vulnérabilités, nous avons créé cet article pour fournir une communication sur les actions que les clients peuvent entreprendre pour réduire les risques dans leur environnement.
Nous analysons activement ces vulnérabilités et étudions les méthodes d’utilisation de nos solutions pour les protéger contre elles.
Nous examinons également toutes nos solutions pour tout impact potentiel. Voir
SB10380-Registered-Bulletin de sécurité-Etat du produit pour les vulnérabilités liées au printemps (CVE-2022-22947, CVE-2022-22963, CVE-2022-22965).
Remarque : Le contenu référencé est uniquement disponible pour les utilisateurs de ServicePortal consignés. Pour afficher le contenu, cliquez sur le lien et connectez-vous lorsque vous y êtes invité.
Abonnez-vous à cet article pour recevoir les mises à jour relatives à la couverture et aux contre-mesures associées.
Pour recevoir une notification par e-mail lorsque cet article est mis à jour, cliquez sur S'inscrire sur la droite de la page. Vous devez être connecté pour vous inscrire.
Pour plus d’informations, reportez-vous aux articles suivants :
CVE-2022-22947 : vulnérabilité de type injection de Code Gateway dans le Cloud Spring
CVE-2022-22950 : expression de printemps déni
de service CVE-2022-22963 : RCE dans le Cloud de printemps par expression de printemps malveillante
CVE-2022-22965 : infrastructure de printemps RCE via la liaison de données sur JDK 9 +