الثغرات الأمنية
اكتشف الباحثون ثغرة أمنية خطيرة CVE-2022-22965 في Spring إطار العمل مفتوح المصدر لمنصة لغة Java.وللأسف، تم تسريب تفاصيل عن الثغرة الأمنية للجمهور قبل نشر الإعلان الرسمي وإصدار التصحيحات ذات الصلة.
اجتذبت هذه الثغرة الأمنية اهتمام أخصائيي أمن المعلومات على الفور، لأنها قد تشكل تهديدًا خطيرًا للعديد من تطبيقات الإنترنت. وعلى غرار Log4Shell، المُبالَغ في أمرها، سُميت الثغرة الأمنية الجديدة Spring4Shell.
أصدر منشئو إطار العمل VMware Spring بالفعل تصحيحات لإصلاح التطبيقات المعرضة للخطر، لذلك نوصي بأن تقوم جميع الشركات التي تستخدم الإصدارين 5.3 و5.2 من Spring Framework على الفور بالترقية إلى الإصدارين 5.3.18 أو 5.2.20.
ما Spring4Shell؟ ولماذا هي ثغرة أمنية خطيرة للغاية ؟
تنتمي هذه الثغرة الأمنية إلى فئة RCE، أي أنها تسمح للمهاجم بتنفيذ التعليمات البرمجية الضارة عن بُعد. وحاليًا في CVSS v3.0 Calculator، صُنفت شدتها بدرجة 9.8 من أصل 10.وتؤثر الثغرة الأمنية على تطبيقات Spring MVC وSpring WebFlux التي تعمل بموجب Java Development Kit الإصدار 9 أو الأحدث منه.
أبلغ الباحثون عن الثغرة الأمنية المكتشفة في VMware ليلة الثلاثاء، ولكن تم نشر إثبات مفهوم الثغرة الأمنية على GitHub يوم الأربعاء.وقد تمت إزالة إثبات المفهوم بسرعة، ولكن ليس قبل أن يلاحظه خبراء الأمن (الذين أكد بعضهم على خطر الثغرة). ومن المستبعد جدًا أن يكون مثل هذا الاستغلال القوي قد اختفى دون أن يلاحظه مجرمو الإنترنت.
يحظى إطار العمل Spring بشعبية كبيرة بين مطوري Java، مما يعني أن العديد من التطبيقات من المحتمل أن تكون عرضة للخطر. ووفقًا لمنشور Bleeping Computer، يمكن أن تصبح تطبيقات Java المعرضة لخطر Spring4Shell سببًا لاختراق عدد كبير من الخوادم.وعلاوة على ذلك، ووفقًا لنفس المنشور، يتم بالفعل استغلال الثغرة الأمنية بصورة نشطة وبطريقة عنيفة.
يمكن العثور على المزيد من التفاصيل الفنية، جنبًا إلى جنب مع مؤشرات الاختراق المتعلقة باستغلال الثغرة الأمنية Spring4Shell في منشور المدونة في Securelist. وهناك أيضًا وصف لثغرة أمنية خطيرة أخرى في إطار العمل Spring الخاص بلغة Java (CVE -2022-22963) في نفس المنشور.
شروط استغلال الثغرة الأمنية Spring4Shell
تتطلب طريقة استغلال Spring4Shell الوحيدة والمعروفة في وقت النشر أن تجتمع بعض الظروف معًا بطريقة معينة. ولكي يتحقق الاستغلال، يجب الاستعانة بالمحاور التالية من جانب المهاجم:
- · Java Development Kit الإصدار 9 أو الأحدث منه
- · Apache Tomcat لتكون حاوية سيرفليت
- · تنسيق الملف WAR (مورد تطبيق الويب) بدلاً من JAR الافتراضي
- · تبعيات Spring-WebMVC أو Spring-WebFlux
- · إصدارات إطار العمل Spring 5.3.0 إلى 5.3.17، أو 5.2.0 إلى 5.2.19، أو الأقدم من ذلك.
مع ذلك، من الممكن تمامًا أن يكون هناك المزيد من خيارات الاستغلال غير المعروفة حتى الآن، كما يمكن استغلال نفس الثغرة الأمنية بطريقة أخرى.
كيفية حماية نفسك من Spring4Shell
النصيحة الرئيسية لأي شخص يستخدم إطار العمل Spring هي الترقية للإصدارين الآمنين 5.3.18 أو 5.2.20.
كما أصدرت مؤسسة Apache Software Foundation إصدارات منقحة من Apache Tomcat وهم 10.0.20 و9.0.62 و8.5.78، حيث يتم إغلاق ناقل الهجوم من جانب Tomcat.
أصدر مطورو Spring أيضًا إصدارات منقحة من ملحقات Spring Boot 2.5.12 و2.6.6 التي تعتمد على الإصدار الذي تم تصحيحه من Spring Framework 5.3.18
إذا لم تتمكن لسبب ما من تحديث البرنامج أعلاه، فيجب عليك استخدام أحد الحلول التي تم نشرها على موقع Spring الرسمي.
للتقليل من مخاطر الهجوم المحقق، ننصحك بحماية جميع الخوادم، بالإضافة إلى أي أجهزة أخرى متصلة بالإنترنت، باستخدام حل الأمان الموثوق به . وإذا كنت تستخدم منتجات أمان Kaspersky، فتأكد من تمكين وحدتي Advanced Exploit Prevention وNetwork Attack Blocker.
النصائح