Spring Java 프레임워크 (CVE-2022-22965, CVE-2022-22963) Rule 업데이트 안내

• 웹 방화벽 / 웹 / 시스템
  – 시스템 그룹별 사용자 필터 등록 후 차단 및 탐지 가능

[사진 1] 메뉴>필터>등록>웹방화벽 or 웹>등록

[사진 2] 메뉴>필터>등록>시스템>등록

• Rule
  1. CVE-2022-22965
     • (?i:class\.module\.classloader\.resources\.context\.parent\.pipeline\.)
  2. CVE-2022-22963
     • (?i:.*\/functionrouter$)

[사진 3] 웹 방화벽 CVE-2022-22965 사용자 필터 등록 (Post-body, Request)

[사진 4] 웹 방화벽 CVE-2022-22963 사용자 필터 등록

• Exploit
  1. CVE-2022-22965 [1]
     • curl -v -d “class.module.classLoader.resources.context.parent.pipeline.first.pattern=%{c2}i if(“j”.equals(request.getParameter(“pwd”))){ java.io.InputStream in = %{c1}i.getRuntime().exec(request.getParameter(“cmd”)) …… fileDateFormat=” http://localhost
  2. CVE-2022-22963 [2]
     • curl -i -s -k -X $’POST’ -H $’Host: 192.168.1.2:8080′ -H $’spring.cloud.function.routing-expression:T(java.lang.Runtime).getRuntime().exec(\”touch /tmp/test”)’ …… $’http://192.168.1.2:8080/functionRouter’
     • HTTP 요청 헤더에 주입 및 실행. 헤더 변조 로깅 가능한 경우, [spring.cloud.function.routing-expression] AND [functionRouter] 탐지 규칙 사용 권고

• 영향을 받는 버전 [3]

1. 1. CVE-2022-22965(Spring4Shell)
      – 1) JDK 9 이상의 2) Spring 프레임워크 사용하는 경우
      – Spring Framework 5.3.0 ~ 5.3.17, 5.2.0 ~ 5.2.19 및 이전 버전
      ※ JDK 8 이하의 경우 취약점의 영향을 받지 않음
   2. CVE-2022-22963
      – Spring Cloud Function 3.1.6 ~ 3.2.2 버전
      ※ 취약점이 해결된 버전 제외(3.1.7, 3.2.3 업데이트 버전 제외

• Spring4Shell 버전 확인 방법

1. 1. JDK 버전 확인
      – “java -version” 명령 입력
   2. Spring 프레임워크 사용 유무 확인
      – 프로젝트가 jar, war 패키지로 돼 있는 경우 zip 확장자로 변경하여 압축풀기
      이후 아래와 같이 “spring-beans-.jar”, “spring.jar”, “CachedIntrospectionResuLts.class” 로 검색find . -name spring-beans*.ja
      

•  대응방안
  – 제조사 홈페이지를 통해 최신버전으로 업데이트 적용
  ※ 제조사 홈페이지에 신규버전이 계속 업데이트되고 있어 확인 후 업데이트 적용 필요

1. 1. CVE-2022-22965(Spring4Shell)
      Spring Framework 5.3.18, 5.2.20 버전으로 업데이트
   2. CVE-2022-22963
      Spring Cloud Function 3.1.7, 3.2.3 버전으로 업데이트

참고[1] https://www.haproxy.com/blog/april-2022-cve-2022-22965-spring4shell-remote-code-execution-mitigation/[2] https://sysdig.com/blog/cve-2022-22963-spring-cloud/[3] https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66592