«Ростелеком-Солар» обновил базу поиска уязвимостей анализатора кода приложений Solar appScreener. В обновление вошла обнаруженная критическая уязвимость CVE-2022-22965, затрагивающая работу Java-фреймворка с открытым исходным кодом Spring. Баг позволяет удаленно выполнить произвольный код без аутентификации, благодаря чему по CVSS ему была присвоена оценка опасности угрозы: 9.8/10 баллов.

Уязвимость, выявленная в модуле Spring Core, позволяет привязывать данные в http-запросе к полям объектов приложения. Баг содержится в реализации метода getCachedIntrospectionResults, который может быть использован для несанкционированного доступа к этим объектам при передаче данных имен классов этих объектов через указанный HTTP-запрос.

Уязвимость присутствует в приложениях Spring MVC и Spring WebFlux, работающих под Java Development Kit (версии 9+), эксплуатация которых может привести к компрометации огромного количества серверов. Наиболее высокой угрозе подвержены корпоративные Java-приложения на базе Spring Framework с правами root, так как уязвимость в них позволяет скомпрометировать всю систему. Уязвимость CVE-2022-22965 исправлена в версиях Spring Framework 5.3.18 и 5.2.20.

«Текущая ситуация опасна тем, что во многих организациях не выстроен процесс мониторинга уязвимостей, и несмотря на оперативно выпущенные патчи и распространение рекомендаций по устранению уязвимостей, часть компаний по-прежнему находится под угрозой, — Даниил Чернов, директор Центра Solar appScreener компании «Ростелеком-Солар». — Наша исследовательская лаборатория следит за появлением уязвимостей нулевого дня, а команда разработчиков оперативно отражает их в базе поиска уязвимостей Solar appScreener. Так, с начала апреля база правил поиска уязвимостей постоянно пополняется другими обнаруженными багами в Spring: CVE-2022-22963, CVE-2022-22946, CVE-2022-22947, CVE-2022-22950».

ДРУГИЕ СТАТЬИ ПРОДУКТА

Еще больше о наших возможностях

От почты до мессенджеров: комплексная защита данных на базе обновлённой версии Solar Dozor 8.1

От почты до мессенджеров: комплексная защита данных на базе обновлённой версии Solar Dozor 8.1

Узнать больше
Как ИТ-специалисту перейти в кибербезопасность

Как ИТ-специалисту перейти в кибербезопасность

Узнать больше
Solar Dozor интегрируется с «МойОфис Документы Онлайн» для защиты данных

Solar Dozor интегрируется с «МойОфис Документы Онлайн» для защиты данных

Узнать больше
Идти навстречу бизнесу: «Солар» запустил промоакцию на облачный SOC для компаний с разными бюджетами

Идти навстречу бизнесу: «Солар» запустил промоакцию на облачный SOC для компаний с разными бюджетами

Узнать больше
Личное под контролем: «Ростелеком» и «Солар» обновили сервис мониторинга утечек персональных данных

Личное под контролем: «Ростелеком» и «Солар» обновили сервис мониторинга утечек персональных данных

Узнать больше
Холдинг «Цикада» и ГК «Солар» будут совместно развивать проекты по кибербезопасности для КИИ

Холдинг «Цикада» и ГК «Солар» будут совместно развивать проекты по кибербезопасности для КИИ

Узнать больше
Новая версия Solar webProxy 4.3: контроль трафика по приложениям с помощью DPI, фиды угроз от Solar 4RAYS и модуль webCAT

Новая версия Solar webProxy 4.3: контроль трафика по приложениям с помощью DPI, фиды угроз от Solar 4RAYS и модуль webCAT

Узнать больше
Надежный барьер: фильтр нежелательных сайтов обезопасит пользователей домашнего интернета «Ростелекома»

Надежный барьер: фильтр нежелательных сайтов обезопасит пользователей домашнего интернета «Ростелекома»

Узнать больше
«Солар» планирует втрое увеличить партнерскую сеть в течение нескольких лет

«Солар» планирует втрое увеличить партнерскую сеть в течение нескольких лет

Узнать больше
«Ростелеком» и «РусГидро» объединят усилия для повышения киберустойчивости энергетической отрасли

«Ростелеком» и «РусГидро» объединят усилия для повышения киберустойчивости энергетической отрасли

Узнать больше