Outro dia, outro dia zero. Desta vez, pesquisadores de segurança descobriram um desvio para um zero-day, execução remota de código falha no framework Spring Core, logo depois que uma exploração de prova de conceito vazou para o GitHub. Spring Core é um framework Java amplamente conhecido para construir aplicações web Java.
Um Bypass para o CVE-2010-1622 Zero-Day Disponível
De acordo com a empresa de segurança cibernética Praetorian, O Spring Core no JDK9+ é propenso à execução remota de código devido a um desvio para a vulnerabilidade CVE-2010-1622.
“Na hora de escrever, esta vulnerabilidade não foi corrigida no Spring Framework e há uma prova de conceito pública disponível,”Disseram os pesquisadores.
Em configurações específicas, a exploração do CVE-2010-1622 é direta, pois requer apenas que um invasor envie uma solicitação HTTP criada para um sistema exposto. Contudo, para explorar diferentes configurações, os atores de ameaças teriam que pesquisar adicionalmente para encontrar cargas úteis eficazes. No caso de uma exploração bem-sucedida, invasores não autenticados poderão executar código arbitrário no sistema de destino.
Felizmente, há uma correção, uma mitigação temporária, para corrigir a condição vulnerável:
“Na estrutura da primavera, DataBinder tem funcionalidade para não permitir certos padrões. Como uma mitigação temporária para esta vulnerabilidade, Praetorian recomenda a criação de um componente ControllerAdvice (que é um componente Spring compartilhado entre os controladores) e adicionando padrões perigosos à lista de negações”, Os pesquisadores adicionado.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: