Vlákno názorů ke zprávičce Spring4Shell: nová zranitelnost Javy ve Spring od kvas - u mna to uz niekto skusal, len nechapem,...

u mna to uz niekto skusal, len nechapem, preco je za "=" iba "0", cakal by som tam nejake URL na externe jar-ko.


192.241.214.18 - - [01/Apr/2022:03:3­7:48 +0200] "GET /?class.module­.classLoader.UR­Ls%5B0%5D=0 HTTP/1.1" 200 12154 "-" "Mozilla/5.0 zgrab/0.x"

dalsie IP su: 192.241.225.237, 139.162.172.111

este pripominam, ze aplikacie, ktore bezia ako spustitelne Spring Boot jar-ko by nemali byt zranitelne.
zdroj:
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement#am-i-impacted

1. 4. 2022, 20:30 editováno autorem komentáře

Tipuji to na testovani jestli je server vulnerable - pokud ano, bude mit response urcitou delku / obsah

U me jsou to IP 192.241.225.206 a 134.122.34.12

"ze aplikacie, ktore bezia ako spustitelne Spring Boot jar-ko by nemali byt zranitelne."

To je poměrně zjednodušující. Zadokumentovaná ukázka zneužití sice skutečně využívá vlastností Tomcat classloaderu, ale chyba spočívá v tom, že je vůbec možnost se na classloader dostat. Ostatně hned v následujícím odstavci to píší:

"The vulnerability involves ClassLoader access, and therefore in addition to the specific attack reported with a Tomcat specific ClassLoader, other attacks may be possible against a different custom ClassLoader."

Je možné, že class-loader použitý při zabalení spring boot aplikace do spustitelného jaru zneužít nejde (hrál jsem si s tím pár hodin a nic jsem nenašel, ale nejsem bezpečnostní specialista), ale spoléhat se na to je časovaná bomba.