Spring4Shell : une faille de sécurité très critique

Spring4Shell est une faille de sécurité très critique de type RCE qui touche le Framework open source le plus léger et aussi le plus utilisé pour java, Spring.  

Spring4Shell peut être exploité en exécutant des codes malveillants à distance (tel que Mirai botnet) dans le but de prendre le contrôle sur des machines utilisant Spring MVC et Spring WebFlux et qui ont déjà installé le kit de développement Java (Le JDK) pour faire tourner ce Framework.

La faille de sécurité réside plus exactement dans le JDK à partir de la version 9.0 et ultérieure et devient exploitable en cas ou les versions de Spring installées sont de 5.3.0 à 5.3.17 et de 5.2.0 à 5.2.19 ainsi que toutes les versions antérieures.  Pas seulement que cela, mais d’autres conditions sont requises pour que la vulnérabilité soit exploitable comme le serveur Apache Tomcat pour les servlets qui devrait être en exécution sur la machine et l’application ciblée devrait être archivée en tant qu’une archive web Java (WAR) et déployée dans une instance Tomcat.

Selon des chercheurs en sécurité informatique, la faille a été découverte la nuit de mardi dernier sur VMware et a été référencée dans la liste publique des failles de sécurité informatique (Common Vulnérabilités and Exposures) sous l’identifiant ou le code : CVE-2022-22965 avec un degré d’importance de la faille (CVSS) de 9,8/10.

Ne tardez pas à appliquer les correctifs en urgence si cela vous concerne.