Vulnerabilidad Spring4Shell en Spring Framework afecta a productos Siemens

Fecha de publicación: 20/04/2022

Importancia:
Crítica

Recursos afectados:

• Operation Scheduler, versiones anteriores a la 2.0.4;
• SiPass integrated V2.80, todas las versiones;
• SiPass integrated V2.85, todas las versiones;
• Siveillance Identity V1.5, todas las versiones;
• Siveillance Identity V1.6, todas las versiones.

Descripción:

Se ha revelado una vulnerabilidad en Spring Framework denominada Spring4Shell, que podría permitir a un atacante remoto, no autentificado, la ejecución de código.

Solución:

• Operation Scheduler, actualizar a la versión 2.0.4 o superior;
• SiPass integrated V2.80, aplicar el parche;
• SiPass integrated V2.85, aplicar el parche;
• Siveillance Identity V1.5 y V1.6, aún no hay parche disponible. Se recomienda bloquear las conexiones entrantes y salientes entre el sistema e Internet.

Detalle:

La vulnerabilidad Spring4Shell afecta a las aplicaciones Spring MVC y Spring WebFlux que se ejecutan en JDK 9+. El exploit requiere que la aplicación se ejecute en Tomcat como un despliegue WAR. Si la aplicación se despliega como un JAR ejecutable de Spring Boot (configuración por defecto) no es vulnerable.

La explotación de esta vulnerabilidad requiere un endpoint con DataBinder habilitado y depende en gran medida del contenedor de servlets de la aplicación. Se ha asignado el identificador CVE-2022-22965 para esta vulnerabilidad.

Etiquetas:
Actualización, Infraestructuras críticas, Siemens, Vulnerabilidad