[English]Sicherheitsforscher von Check Point haben mehrere Schwachstellen in der beliebten Java Spring Framework Entwickler-Umgebung entdeckt. Die Schwachstellen werden inzwischen für Angriffe benutzt, und laut Check Point waren 16 Prozent aller Organisationen weltweit bereits nach vier Tagen betroffen. Eine sofortige Aktualisierung der betroffenen Produkte wird dringend empfohlen.
Anzeige
Ich hatte bereits zum 6. April 2022 im Beitrag VMware reagiert auf die Spring4Shell RCE Schwachstelle CVE-2022-22965 auf das Thema und die Schwachstellen reagiert und auf erste Patches dieses Anbieters hingewiesen.
Die Spring4Shell-Schwachstellen
Die Sicherheitsforscher von Check Point Research (CPR) warnen alle Nutzer der beliebten Entwickler-Umgebung Java Spring Framework vor den neu entdeckten Schwachstellen. Nach der Log4J-Schwachstelle wurden die Schwachstellen Spring4Shell genannt. Folgende Sicherheitslücken, die Kunden in den USA und in Europa betreffen, wurden offiziell unter diesem Begriff registriert:
- CVE-2022-22947 – official VMware post
- CVE-2022-22963 – official Spring project post
- CVE-2022-22965 – official Spring project post
Bei Spring4Shell konnten die Sicherheitsforscher mehrere Indikatoren von Injection/Remote Code Execution als Angriffsweg beobachten. Besonders Europa steht, so die Sicherheitsforscher, unter Feuer. Laut Check Point sollen 20 Prozent der Organisationen wegen Spring4Shell gefährdet sein. Software-Anbieter machen weltweit die größte Gruppe mit 28 Prozent aus. In einer Nachricht des Sicherheitsanbieters heißt es, dass 16 Prozent aller Organisationen weltweit bereits nach vier Tagen betroffen waren.
Spring4Shell-Angriffe, Quelle: Check Point
Anzeige
Microsoft hat in diesem Artikel Hinweise auf die Spring4Shell-Schwachstellen gegeben. Die Kollegen von Bleeping Computer erwähnen hier, dass Microsofts laufender Angriffe entdeckt habe, bei denen Spring4Shell-Exploits gegen Microsofts Cloud-Infrastruktur eingesetzt werden. Bisher wurde aber noch kein erfolgreicher Angriff festgestellt, da Microsoft die Software gepatcht hat. Auch CISA warnt vor diesen Schwachstellen.
Die Entwickler haben die Java Spring Framework-Versionen 5.3.18 und 5.2.20 sowie Spring Boot 2.5.12 veröffentlicht, die das RCE-Problem erfolgreich beheben. Die Sicherheitsforscher empfehlen die sofortige Aktualisierung des Java Spring Framework auf die aktuelle Version, um die Schwachstellen zu schließen. Für Endanwender besteht das Problem, dass die Hersteller von Software-Produkten, die das Java Spring Framework verwenden, die betreffenden Produktaktualisierungen bereitstellen müssen. Dabei wird die Befolgung des Leitfadens des Spring Project angeraten. Eine ausführliche Übersicht über die Beobachtungen von Check Point zum Spring4Shell finden sich in diesem Artikel.
Anzeige
