Een andere dag, weer een nul-dag. Deze keer, beveiligingsonderzoekers ontdekten een bypass voor een oudere zero-day, uitvoering van externe code fout in het Spring Core-framework, kort nadat een proof-of-concept exploit was gelekt naar GitHub. Spring Core is een algemeen bekend Java-framework voor het bouwen van Java-webapplicaties.
Een bypass voor de CVE-2010-1622 Zero-Day beschikbaar
Volgens cyberbeveiligingsbedrijf Praetorian, Spring Core op JDK9+ is gevoelig voor uitvoering van externe code vanwege een bypass voor de CVE-2010-1622-kwetsbaarheid.
“Op het moment van schrijven, deze kwetsbaarheid is niet gepatcht in Spring Framework en er is een openbare proof-of-concept beschikbaar,”Aldus de onderzoekers.
In specifieke configuraties, exploitatie van CVE-2010-1622 is eenvoudig, omdat het alleen een aanvaller nodig heeft om een vervaardigd HTTP-verzoek naar een blootgesteld systeem te sturen. Echter, om verschillende configuraties te exploiteren, dreigingsactoren zouden aanvullend onderzoek moeten doen om effectieve payloads te vinden. In geval van een succesvolle exploit, niet-geverifieerde aanvallers kunnen willekeurige code uitvoeren op het aangevallen systeem.
Gelukkig, er is een herstel, een tijdelijke beperking, om de kwetsbare toestand te herstellen:
“In Spring Framework, DataBinder heeft functionaliteit om bepaalde patronen niet toe te staan. Als tijdelijke oplossing voor dit beveiligingslek, Praetorian raadt aan om een ControllerAdvice-component te maken (wat een Spring-component is die wordt gedeeld door Controllers) en gevaarlijke patronen toevoegen aan de weigerlijst”, de onderzoekers toegevoegd.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: