روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ محققین آسیب‌پذیری جدی‌ای را در Spring–فریم‌ورک منبع باز پلت‌فرم جاوا- با شماره رهگیری CVE-2022-22965 کشف کرده‌اند. نام این آسیب‌پذیری Spring4Shell است و متأسفانه جزئیات آن پیش از نشر اعلام رسمی به صورت عمومی نشت شد. این آسیب‌پذیری بلافاصله توجه متخصصین امنیت اطلاعات را به خود جذب کرد زیرا می‌تواند بالقوه برای بسیاری از اپ‌های وبی تهدیدی جدی باشد. با ما همراه باشید.
این آسیب‌پذیری جدید به دلیل شباهتش به Log4Shell نام Spring4Shell را بدان داده‌اند. سازندگان فریم‌ورک VMware Spring همین الان نیز برای رفع اپ‌های آسیب‌پذیری پچ‌هایی را بیرون داده‌اند پس توصیه ما به همه شرکت‌هایی که از فریم‌ورک اسپرینگ نسخه 3.5 و 5.2 استفاده می‌کنند این است که فوراً آنها را به نسخه‌های 5.3.18 یا 5.2.20 ارتقا دهند.
Spring4Shell چیست و چرا خطرناک است؟
این آسیب‌پذیری به کلاس RCE تعلق دارد که به مهاجم اجازه اجرای کد مخرب به صورت ریموت را می‌دهد. در حال حاضر بر طبق محاسبه‌گر CVSS v3.0 میزان وخامت این آسیب‌پذیری 9.8 از 10 است. این آسیب‌پذیری روی اپ‌های Spring MVC و Spring WebFlux که تحت نسخه 9 یا بالاتر کیت توسعه جاوا اجرا می‌شوند اثر می‌گذارد. محققین آسیب‌پذیری کشف‌شده را روز سه‌شنبه هفته گذشته به VMware گزارش دادند اما روز چهارشنبه اثبات مفهوم آن را در گیت‌هاب نشر کردند. PoC سریعاً برداشته شد اما نه تا وقتی متخصصین امنیتی از آن باخبر شدند (برخی از آنها خطر این آسیب‌پذیری را تأیید نمودند). و خیلی هم بعید است که چنین اکسپلویت احتمالی‌ای توسط مجرمان سایبری نادیده گرفته شود. فریم‌ورک Spring بین توسعه‌دهندگان جاوا بسیار محبوب است که این یعنی بالقوه بسیاری از اپ‌ها می‌توانند آسیب‌پذیر شده باشند. گفته می‌شود اپ‌های جاوا که نسبت به Spring4Shell آسیب‌پذیر بودند می‌توانند دلیل دستکاری شدن تعداد زیادی از سرورها باشند. همچنین این آسیب‌پذیری به طور فعالانه‌ای دارد در محیط بیرون مورد اکسپلویت قرار می‌گیرد.
شرایط اکسپلویت یک آسیب‌پذیری Spring4Shell
تنها متود اکسپلویت Spring4Shell که اکنون از آن باخبریم به یک سری از شرایط خاص نیاز دارد. برای اینکه اکسپلویت موفقیت‌آمیز پیش رود اجزای زیر باید از جانب مهاجمین درست به کار گرفته شوند:
- کیت توسعه جاوا نسخه‌ی 9 به بعد.
- Apache Tomcat بعنوان کانتینر سرولت[1].
- فرمت فایل WAR (منبع اپ وبی) به جای JAR پیش‌فرض.
- ملحقات روی spring-webmvc یا spring-webflux.
- نسخه‌های فریم‌ورک اسپرینگ 5.3.0 به 5.3.17.5.2.0 به 5.2.19 یا قدیمی‌تر.
با این حال امکان دارد هنوز گزینه‌های ناشناخته‌ی دیگری هم برای اکسپلویت این آسیب‌پذیری وجود داشته باشد.
راهکارهای امنیتی
توصیه اصلی ما به هر کسی که از فریم‌ورک اسپرینگ استفاده می‌کند این است که به یکی از نسخه‌های 5.3.18 یا 5.2.20 آپگرید شود. Apache Software Foundation همچنین نسخه‌های پچ‌شده‌ای از Apache Tomcat را (10.0.20, 9.0.62, 8.5.78) بیرون داده است که در آنها بردار حمله از سمت تام‌کت بسته شده است. توسعه‌دهندگان Spring همچنین نسخه‌های پچ‌شده Spring Boot را نیز (افزونه‌های 2.5.12 و 2.6.6) ارائه دادند که به نسخه پچ‌شده‌ی فریم‌ورک اسپرینگ 5.3.18 وابسته‌اند. اگر به هر دلیلی نتوانستید نرم‌افزار فوق را آپدیت کنید می‌بایست از یکی از راهکارهای نشرشده روی وبسایت رسمی Spring استفاده نمایید.
[1] servlet container
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
