{"id":264182,"date":"2022-04-06T15:26:19","date_gmt":"2022-04-06T13:26:19","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=264182"},"modified":"2022-04-07T02:19:14","modified_gmt":"2022-04-07T00:19:14","slug":"vmware-reagiert-auf-die-spring4shell-rce-schwachstelle-cve-2022-22965","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/04\/06\/vmware-reagiert-auf-die-spring4shell-rce-schwachstelle-cve-2022-22965\/","title":{"rendered":"VMware reagiert auf die Spring4Shell RCE Schwachstelle CVE-2022-22965"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Sicherheit (Pexels, allgemeine Nutzung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" alt=\"Sicherheit (Pexels, allgemeine Nutzung)\" width=\"200\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2022\/04\/07\/vmware-reagiert-auf-die-spring4shell-rce-schwachstelle-cve-2022-22965\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Der Virtualisierungsspezialist VMware hat Sicherheitsupdates f\u00fcr diverse Virtualisierungsprodukte freigegeben. Diese sollen die Spring4Shell genannte Remote Code Execution (RCE) Schwachstelle in diesem Produkten schlie\u00dfen. Gef\u00e4hrdet sind vor allem Cloud-Produkte, die Virtualisierung verwenden. Hier eine \u00dcbersicht \u00fcber diesen Sachverhalt.<\/p>\n<p><!--more--><\/p>\n<h2>Spring4Shell: Schwachstelle CVE-2022-2296<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg02.met.vgwort.de\/na\/bffb543c7d9d4339bdf4c32ff868b8bf\" alt=\"\" width=\"1\" height=\"1\" \/>Die vor einer guten Woche als Spring4Shell gefundene Schwachstelle CVE-2022-2296 existiert im Open-Source-Java-Framework Spring. Durch die Sicherheitsl\u00fccke kann ein Angreifer beliebigen Code auf einem entfernten Webserver ausf\u00fchren (Remote Code Execution). Dazu hei\u00dft es auf <a href=\"https:\/\/cve.mitre.org\/cgi-bin\/cvename.cgi?name=CVE-2022-22965\" target=\"_blank\" rel=\"noopener\">mitre.org zu CVE-2022-22965<\/a>:<\/p>\n<blockquote><p>Eine Spring MVC- oder Spring WebFlux-Anwendung, die unter JDK 9+ ausgef\u00fchrt wird, ist m\u00f6glicherweise anf\u00e4llig f\u00fcr Remotecodeausf\u00fchrung (RCE) \u00fcber Datenbindung. Der spezifische Exploit erfordert, dass die Anwendung auf Tomcat als WAR-Bereitstellung ausgef\u00fchrt wird. Wenn die Anwendung als ausf\u00fchrbares Spring Boot jar bereitgestellt wird, d. h. standardm\u00e4\u00dfig, ist sie nicht f\u00fcr den Exploit anf\u00e4llig. Die Schwachstelle ist jedoch allgemeiner Natur, und es gibt m\u00f6glicherweise andere M\u00f6glichkeiten, sie auszunutzen.<\/p><\/blockquote>\n<p>Das macht CVE-2022-22965, wegen der breiten Verwendung des Spring-Frameworks, zu einer kritischen Bedrohung. In Anlehnung an die ber\u00fcchtigte Log4Shell-Bedrohung wurde die Sicherheitsl\u00fccke Spring4Shell genannt. Eine anf\u00e4llige Konfiguration besteht aus:<\/p>\n<ul>\n<li>JDK Version 9+<\/li>\n<li>Apache Tomcat f\u00fcr die Bereitstellung der Anwendung<\/li>\n<li>Spring Framework Versionen 5.3.0 bis 5.3.17 und 5.2.0 bis 5.2.19 und darunter als WAR-Datei erstellte Anwendung<\/li>\n<\/ul>\n<p>Die Schwachstelle CVE-2022-22963 existiert in der Routing-Funktionalit\u00e4t von Spring Cloud Function und erm\u00f6glicht eine Code-Injektion durch Spring Expression Language (SpEL). Details zu Spring4Shell finden sich auf <a href=\"https:\/\/securelist.com\/spring4shell-cve-2022-22965\/106239\/\" target=\"_blank\" rel=\"noopener\">Securelist<\/a> von Kaspersky. Ein Update der betreffenden Komponente von Spring Cloud Function 3.1.6, 3.2.2 auf 2.6.6 sollte die Schwachstelle beseitigen (siehe <a href=\"https:\/\/spring.io\/blog\/2022\/03\/31\/spring-boot-2-6-6-available-now\" target=\"_blank\" rel=\"noopener\">Spring-Blog<\/a>). Inzwischen wurde auf GitHub bereits ein Exploit ver\u00f6ffentlicht.<\/p>\n<h2>VMware reagiert auf die Spring4Shell-Schwachstelle<\/h2>\n<p>Anbieter VMware hat seine Produkte auf Anf\u00e4lligkeit im Hinblick auf die Spring4Shell-Schwachstelle untersucht und den Sicherheitshinweis <a href=\"https:\/\/www.vmware.com\/security\/advisories\/VMSA-2022-0010.html\" target=\"_blank\" rel=\"noopener\">VMSA-2022-0010.1<\/a> ver\u00f6ffentlicht. Die Schwachstelle CVE-2022-2296 wird mit dem CVE-Score von 9.8 eingestuft (kritisch) und VMware gibt folgende Produkte als betroffen an:<\/p>\n<ul>\n<li>VMware Tanzu Application Service for VMs<\/li>\n<li>VMware Tanzu Operations Manager<\/li>\n<li>VMware Tanzu Kubernetes Grid Integrated Edition (TKGI)<\/li>\n<\/ul>\n<p>Der Hersteller hat in seinem Sicherheitshinweis folgende Tabelle mit einem \u00dcberblick \u00fcber betroffenen und patchbare Produkte ver\u00f6ffentlicht.<\/p>\n<p><a href=\"https:\/\/i.imgur.com\/zWmuGFt.png\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" title=\"VMware Spring4Shell\" src=\"https:\/\/i.imgur.com\/zWmuGFt.png\" alt=\"VMware Spring4Shell\" width=\"636\" height=\"596\" \/><\/a><\/p>\n<p>Die Auflistung zeigt, dass f\u00fcr die Tanzu-Applications Services und f\u00fcr den Tanzu Operations Manager bereits Patches f\u00fcr die diversen Versionen bereitstehen. F\u00fcr TKGI stehen die Sicherheitsupdates aber noch aus, wobei es aber einen <a href=\"https:\/\/kb.vmware.com\/s\/article\/88102\" target=\"_blank\" rel=\"noopener\">Workaround gibt<\/a>, um CVE-2022-22965 abzuschw\u00e4chen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Der Virtualisierungsspezialist VMware hat Sicherheitsupdates f\u00fcr diverse Virtualisierungsprodukte freigegeben. Diese sollen die Spring4Shell genannte Remote Code Execution (RCE) Schwachstelle in diesem Produkten schlie\u00dfen. Gef\u00e4hrdet sind vor allem Cloud-Produkte, die Virtualisierung verwenden. Hier eine \u00dcbersicht \u00fcber diesen Sachverhalt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459,185,14],"tags":[4328,16],"class_list":["post-264182","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","category-update","category-virtualisierung","tag-sicherheit","tag-vmware"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/264182","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=264182"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/264182\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=264182"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=264182"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=264182"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}