Blog

Alerta por vulnerabilidad crítica CVE-2022-22963, CVE-2022-22965, RCE en Spring

Resumen Ejecutivo

Spring (un marco de aplicación y un contenedor de inversión de control para la plataforma Java) lanzó nuevas actualizaciones de emergencia para corregir una vulnerabilidad de ejecución remota de código de día cero, la que fue apodada como «Spring4Shell«, la cual se filtró prematuramente en Internet antes de que se lanzara el parche.

El día de ayer, un exploit para dicha vulnerabilidad se publicó brevemente en la plataforma de GitHub, luego de unos momentos, el repositorio donde estaba dicho exploit fue eliminado. Sin embargo, el código fue rápidamente compartido en otros repositorios y probado por investigadores de ciberseguridad, quienes confirmaron que era un exploit legítimo, agravando más el asunto.

Actualmente se tiene confirmado que diferentes actores de amenazas ya están realizando labores de explotación de dichas vulnerabilidades de día cero.

El día de hoy, Spring ha publicado un aviso de seguridad que explica que la vulnerabilidad ahora será identificada como CVE-2022-22965 y afecta a las aplicaciones Spring MVC y Spring WebFlux en JDK 9.

Varias empresas que usan Spring para desarrollar algunos de sus productos han identificado aquellos
que estarían afectados por la vulnerabilidad, y entregado parches para corregirla. Algunos de las
principales son VMware, Cisco, Red Hat, SolarWinds y SAP, cuyos detalles y enlaces respectivos se
detallan en el presente documento.

Productos afectados

VMware:
VMware Tanzu Application Service for VMs
VMware Tanzu Operations Manager
VMware Tanzu Kubernetes Grid Integrated Edition (TKGI)

Cisco:
Cisco Crosswork Optimization Engine
Cisco Crosswork Zero Touch Provisioning (ZTP)
Cisco Edge Intelligence

RedHat:
Red Hat Descision Manager 7
Red Hat JBoss A-MQ 6
Red Hat JBoss Fuse 6
Red Hat JBoss Fuse 7
Red Hat Process Automation 7
Red Hat JBoss A-MQ 7
Red Hat Virtualization 4

SolarWinds (No confirmados ni descardados como vulnerables):
Security Event Manager (SEM)
Database Performance Analyzer (DPA)
Web Help Desk (WHD)

SAP:
SAP NetWeaver Application Server for Java todas las versiones.

Recomendaciones

Aplicar las actualizaciones correspondientes a la brevedad posible.

Solución

  • Spring Framework 5.3.18 (YA DISPONIBLE).
  • Spring Framework 5.2.20 (YA DISPONIBLE).
  • Spring Boot 2.6.6 (YA DISPONIBLE).

Información Relacionada

Otras vulnerabilidad a considerar

CVE-2021-44228 & CVE-2021-45046

Artículos Relacionados

Protege tus aplicaciones Web y API

Accede a una evaluación completamente funciona

La primera solución completa que cubre los errores de seguridad y fallas de la lógica empresarial en todo el SDLC
Ir al Demo
Alterta Temprana de Riesgos
Reduce tu ventana de exposición al riesgo a las amenazas externas, mejorando la eficiencia en la detección y respuesta ante ciberamenazas.
Más Info
Hdiv - Protege tus aplicaciones Web y API
La primera solución completa que cubre los errores de seguridad y fallas de la lógica empresarial en todo el SDLC
Accede al Demo Gratuito
Protección de Dominios - Sendmarc
Evita y protege activamente los dominios de tu organización contra los ataques de suplantación de identidad y phishing
Más Info
Endpoint - Panda Security
Endpoint Protection Platform, EDR y Servicios de 100% Atestación y Threat Hunting integrado
Más Info

Últimos Artículos

Hablemos

Si tienes alguna duda o pregunta con nuestros servicios, puedes comunicarte directamente con nosotros o completar el formulario, y nos pondremos en contacto contigo en breve.

Email

contacto@cronup.com

Ubicación

Providencia, Santiago de Chile

Twitter

@Cronup_CyberSec

Linkedin

Cronup Ciberseguridad

CronUp Newsletter

Suscríbete a nuestro resumen semanal de noticias y alertas de seguridad para mantenerte actualizado sobre el panorama de amenazas en la región y el mundo.

* indicates required