VMware · Spring Framework
CVE-2022-22965
Spring Framework JDK 9+ Remote Code Execution Vulnerability
Что это
A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.
CISA: Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 25 апреля 2022 г.
- Добавлена в список CISA
- 4 апреля 2022 г.
- Опубликована
- 1 апреля 2022 г.
- Серьёзность
- Критическая 9,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 99,6% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-94
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (8)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
- https://tanzu.vmware.com/security/cve-2022-22965
- https://www.oracle.com/security-alerts/cpuapr2022.html
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0005
- http://packetstormsecurity.com/files/166713/Spring4Shell-Code-Execution.html
- https://cert-portal.siemens.com/productcert/pdf/ssa-254054.pdf
- https://www.oracle.com/security-alerts/cpujul2022.html
- http://packetstormsecurity.com/files/167011/Spring4Shell-Spring-Framework-Class-Property-Remote-Code-Executio…
Другие эксплуатируемые уязвимости VMware
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 4 мар. 2025 г. | TOCTOU Race Condition | ESXi and Workstation | Критическая 9,3 | 1,6% |
| 4 мар. 2025 г. | Arbitrary Write | ESXi | Высокий 8,2 | 1,0% |
| 4 мар. 2025 г. | Information Disclosure | ESXi, Workstation, and Fusion | Высокий 7,1 | 1,6% |
| 20 нояб. 2024 г. | Heap-Based Buffer Overflow | vCenter Server | Критическая 9,8 | 55% |
| 20 нояб. 2024 г. | Privilege Escalation | vCenter Server | Высокий 7,5 | 17% |
| 30 июл. 2024 г. | Authentication Bypass | ESXi | Средняя 6,8 | 27% |
| 17 июл. 2024 г. | Incorrect Default File Permissions Vulnerability | vCenter Server | Средняя 6,5 | 13% |
| 22 янв. 2024 г. | Out-of-Bounds Write | vCenter Server | Критическая 9,8 | 99,2% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.