Fecha de publicación: 20/04/2022
Importancia:
Crítica
Recursos afectados:
- Operation Scheduler, versiones anteriores a la 2.0.4;
- SiPass integrated V2.80, todas las versiones;
- SiPass integrated V2.85, todas las versiones;
- Siveillance Identity V1.5, todas las versiones;
- Siveillance Identity V1.6, todas las versiones.
Descripción:
Se ha revelado una vulnerabilidad en Spring Framework denominada Spring4Shell, que podría permitir a un atacante remoto, no autentificado, la ejecución de código.
Solución:
- Operation Scheduler, actualizar a la versión 2.0.4 o superior;
- SiPass integrated V2.80, aplicar el parche;
- SiPass integrated V2.85, aplicar el parche;
- Siveillance Identity V1.5 y V1.6, aún no hay parche disponible. Se recomienda bloquear las conexiones entrantes y salientes entre el sistema e Internet.
Detalle:
La vulnerabilidad Spring4Shell afecta a las aplicaciones Spring MVC y Spring WebFlux que se ejecutan en JDK 9+. El exploit requiere que la aplicación se ejecute en Tomcat como un despliegue WAR. Si la aplicación se despliega como un JAR ejecutable de Spring Boot (configuración por defecto) no es vulnerable.
La explotación de esta vulnerabilidad requiere un endpoint con DataBinder habilitado y depende en gran medida del contenedor de servlets de la aplicación. Se ha asignado el identificador CVE-2022-22965 para esta vulnerabilidad.
Etiquetas:
Actualización, Infraestructuras críticas, Siemens, Vulnerabilidad
Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.