Trend Micro Threat Research observó la explotación activa de la vulnerabilidad Spring4Shell asignada como CVE-2022-22965, que permite a los actores malintencionados armar y ejecutar el malware de botnet Mirai. La explotación permite a los actores de amenazas descargar la muestra de Mirai a la carpeta “/tmp” y ejecutarlos después del cambio de permiso usando “chmod”.
Comenzó a ver actividades maliciosas a principios de abril de 2022. También logró localizar el servidor de archivos de malware con otras variantes de la muestra para diferentes arquitecturas de CPU.
¿Qué es Spring Framework?
Spring Framework es parte del ecosistema Spring, que comprende otros componentes para la nube, datos y seguridad, entre otros.
Spring Framework se utiliza para desarrollar aplicaciones de nivel empresarial en Java. Es una plataforma que proporciona una infraestructura completa para admitir aplicaciones basadas en modelo, vista, controlador o MVC desarrolladas para reducir la configuración manual y mejorar la gestión de la memoria. También hace que el código sea más reutilizable y más fácil de mantener al implementar algunos patrones de diseño universalmente.
Dependencias, software y versiones afectadas
En el momento de escribir este artículo, la mayoría de las configuraciones vulnerables se generaron para las siguientes dependencias:
- Versiones de Spring Framework anteriores a 5.2.20, 5.3.18 y Java Development Kit (JDK) versión 9 o superior
- Apache Tomcat
- Dependencia de spring-webmvc o spring-webflux
- Usar el enlace de parámetros Spring que está configurado para usar un tipo de parámetro no básico, su acrónimo en inglés Plain Old Java Objects (POJO)
- Desplegable, empaquetado como un archivo de aplicación web (WAR)
- Sistema de archivos grabable como aplicaciones web o ROOT
En general, esta vulnerabilidad ocurre cuando se exponen objetos o clases especiales bajo ciertas condiciones. Es bastante común que los parámetros de solicitud estén vinculados a un POJO que no está anotado con @RequestBody, lo que ayuda a extraer parámetros de solicitudes HTTP. La variable de clase contiene una referencia al objeto POJO al que se asignan los parámetros HTTP.
Los actores de amenazas pueden acceder directamente a un objeto especificando la variable de clase en sus solicitudes. Los actores malintencionados también pueden acceder a todas las propiedades secundarias de un objeto a través de los objetos de clase. Como resultado, pueden acceder a todo tipo de otros objetos valiosos en el sistema simplemente siguiendo las cadenas de propiedades.
En Spring Core para “class.classLoader” y “class.protectionDomain”, la lógica evita el acceso malicioso a las propiedades secundarias del objeto de clase. Sin embargo, la lógica no es infalible y, de hecho, puede omitirse utilizando el selector “class.module.classLoader”.
Riesgos asociados si no se repara
La vulnerabilidad RCE brinda a los actores de amenazas acceso total a los dispositivos comprometidos, lo que la convierte en una vulnerabilidad crítica y peligrosa. Los actores maliciosos pueden lograr varios objetivos a través de ataques RCE. A diferencia de otros exploits, un ataque RCE suele dar como resultado lo siguiente:
- Creación de una ruta para permitir el acceso inicial a un dispositivo que permite a los actores de amenazas instalar malware o lograr otros objetivos
- Provisión de medios para propagar malware que extrae y extrae datos de un dispositivo, o habilitación de comandos que instalan malware diseñado para robar información
- Denegación de servicio que interrumpe el funcionamiento de los sistemas u otras aplicaciones en el sistema
- Despliegue y ejecución de malware de cryptomining o cryptojacking en dispositivos expuestos mediante la explotación de la vulnerabilidad RCE
- Despliegue de ransomware que encripta archivos y retiene el acceso hasta que las víctimas paguen el rescate
Parches y mitigaciones disponibles
Se han lanzado parches para esta vulnerabilidad, se recomienda la actualización de:
- Spring Framework a las versiones 5.3.18+ y 5.2.20+.
- Spring Boot a las versiones 2.6.6+ y 2.5.12+.
Trend Micro también ha lanzado reglas y filtros para detección y protección en algunos de sus productos. Estos proporcionan protección adicional y detección de componentes maliciosos asociados a esta amenaza.
Workload Security y Deep Security IPS
- Regla 1011372 – Spring Framework “Spring4Shell” Remote Code Execution Vulnerability (CVE-2022-22965)
Network Security y TippingPoint
- Filtro 41108: HTTP: Spring Core Code Execution Vulnerability
Reglas inspección de contenido de red Trend Micro Deep Discovery Inspector
- Regla 4678: CVE-2022-22965 – Spring RCE Exploit – HTTP(Request)
- Regla 4679: Possible Java Classloader RCE Exploit – HTTP(Request)
Te invitamos a seguir las redes sociales de Nova Instagram, Facebook y LinkedIn para que estes enterado de ésta y más noticias y poder ayudarte a estar protegido a través del amplio portafolio de soluciones en Ciberseguridad con el que contamos incluyendo Trend Micro.
Consulta la fuente de este artículo aquí:
#NovaInforma
