VMware · Spring Framework
CVE-2022-22965
Spring Framework JDK 9+ Remote Code Execution Vulnerability
这是什么
A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.
CISA: Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding.
该怎么做
Apply updates per vendor instructions.
美国联邦机构的修复期限：2022年4月25日
- 加入 CISA 列表
- 2022年4月4日
- 发布日期
- 2022年4月1日
- 严重程度
- 严重 9.8 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- 99.6% 位列所有已知漏洞的前 0.1%
- 弱点类型
- CWE-94
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（8）
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
- https://tanzu.vmware.com/security/cve-2022-22965
- https://www.oracle.com/security-alerts/cpuapr2022.html
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0005
- http://packetstormsecurity.com/files/166713/Spring4Shell-Code-Execution.html
- https://cert-portal.siemens.com/productcert/pdf/ssa-254054.pdf
- https://www.oracle.com/security-alerts/cpujul2022.html
- http://packetstormsecurity.com/files/167011/Spring4Shell-Spring-Framework-Class-Property-Remote-Code-Executio…
VMware 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2025年3月4日 | TOCTOU Race Condition | ESXi and Workstation | 严重 9.3 | 1.6% |
| 2025年3月4日 | Arbitrary Write | ESXi | 高 8.2 | 1.0% |
| 2025年3月4日 | Information Disclosure | ESXi, Workstation, and Fusion | 高 7.1 | 1.6% |
| 2024年11月20日 | Heap-Based Buffer Overflow | vCenter Server | 严重 9.8 | 55% |
| 2024年11月20日 | Privilege Escalation | vCenter Server | 高 7.5 | 17% |
| 2024年7月30日 | Authentication Bypass | ESXi | 中 6.8 | 27% |
| 2024年7月17日 | Incorrect Default File Permissions Vulnerability | vCenter Server | 中 6.5 | 13% |
| 2024年1月22日 | Out-of-Bounds Write | vCenter Server | 严重 9.8 | 99.2% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。