[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも
目次 影響を受けるソフトウェアとバージョン Spring Frameworkの背景 CVE-2022-22965の根本原因分析 クラスローダー悪用の背景 侵害されたサーバー上でのリモートサーバーへのリバースシェル接続確立 SpringShellのエクスプロイト 実際に観測された事例 結論 追加リソース IoC 影響を受けるソフトウェアとバージョン 既存のエクスプロイトの概念実証(PoC)は、以下の条件で動作します。 JDK 9以上 ServletコンテナとしてのApache Tomcat (Spring Bootの実行可能jarとは異なる)従来のWARとしてのパッケージ化 spring-webmvc または spring-webflux との依存関係 Spring Framework バージョン 5.3.0 から 5.3.17, 5.2.0 から 5.2.19, およびそれ以前のバージョン
![[2022-04-19 JST Windows/Linuxによる保護セクションを更新] CVE-2022-22965: Spring Coreにリモートコード実行脆弱性(SpringShell)、すでに実際のエクスプロイトも](https://cdn-ak-scissors.b.st-hatena.com/image/square/b73c5441d4227330105b177aff69ed335eea183a/height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.jp%2Fwp-content%2Fuploads%2F2022%2F03%2FUnit42-blog-2by1-characters-r4d1-2020_Vulnerability-blue.png)
Spring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）について
(1) 概要 2022年3月31日（現地時間）、VMwareはSpring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）に関する情報を公開しました。Spring Frameworkは、JavaのWebアプリ開発を行うためのフレームワークの1つです。本脆弱性が悪用された場合、遠隔の第三者が任意のコードを実行する可能性があります。 VMwareは、本脆弱性に関する報告を受け取った後、調査および修正対応中に脆弱性の詳細が公開されたと明らかにしています。JPCERT/CCは、本脆弱性を実証するとみられるコードや詳細を解説する記事がすでに複数公開されている状況を確認していますが、現時点では具体的な被害事例や報告は確認していません。 本脆弱性の影響を受ける環境には条件があり、今後も追加情報が公開される可能性があります。引き続き、VMwareなどからの情報に注視いただきな
Javaフレームワーク「Spring」の「Cloud Function」に脆弱性、未確認のさらなる脆弱性についても指摘が
Javaアプリケーションフレームワーク「Spring」の、サーバーレス実行環境「Spring Cloud Function」における脆弱性が報告された。また、この他に「Spring Framework」のコアにも深刻とされる脆弱性の存在が指摘されているが、日本時間3月31日時点では未確認。 今回報告された脆弱性（CVE-2022-22963）では、Spring Cloud Functionのバージョン3.1.6と3.2.2、およびそれ以前のサポートされていない古いバージョンにおいて、ルーティング機能を使用している場合、特別に細工された「SpEL」によって、ローカルリソースへのアクセスを許してしまう可能性がある。脆弱性の影響は「中程度」。 既にこれに対応したバージョン3.1.7と3.2.3がリリースされており、更新が推奨されている。 また、Spring Frameworkのコアにも、リモート
Spring Core on JDK9+ is vulnerable to remote code execution
Update: March 31, 2022 A patch has officially been released. https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement https://tanzu.vmware.com/security/cve-2022-22965 OverviewSpring Core on JDK9+ is vulnerable to remote code execution due to a bypass for CVE-2010-1622. At the time of writing, this vulnerability is unpatched in Spring Framework and there is a public proof-of-concep
CVE-2022-22965: Spring Core Remote Code Execution Vulnerability Exploited In the Wild (SpringShell) (Updated)
Table 2. Top 15 source IPs triggering the Spring Core Remote Code Execution Vulnerability signature. We were able to analyze 31,953 packet captures that triggered the Spring Core Remote Code Execution Vulnerability signature to determine the webshell filenames and the webshell contents that would be saved to the server in the event of successful exploitation. In many cases, the webshell file names
JDKの新しいリリース・モデル、および提供ライセンスについて
JDKの新しいリリース・モデ および提供ライセンスについて オラクルは2017年9月、JDKの提供サイクルとライセンス方式に関して、新たなリリース・モデルを発表しました。 これらはJDK 9より一部が適用され、2018年9月に公開されたJDK 11で完全移行しました。新リリース・モデルはJDKの過去のリリース・モデルの課題を解決したものであり、ユーザーにより多くのメリットをもたらします。本記事では、新たな提供サイクルとライセンス方式の概要、およびオラクルによるJDKの有償サポートについて説明します。 本記事で説明する新リリース・モデルのポイント 初めに、本記事で説明するJDKの新リリース・モデルに対応したオラクルのバイナリ・リリースの主なポイントを列挙します。 ●年6回の定期リリース・サイクル 新機能が追加される6カ月に1回(毎年3月と9月）のフィーチャー・リリースに加え、脆弱性対策などを
JDK7およびJDK8のリリース計画 | エンタープライズ | マイコミジャーナル
Java Programming Language Javaプラットフォームグループでチーフアーキテクトを務めるOracleのMark Reinhold氏がRe-thinking JDK 7 - Mark Reinhold’s Blogにおいて、JDK7およびJDK8の新しいリリース計画案を発表した。Sun MicrosystemsがOracleに買収される以前の計画では、JDK7は2009年後期にリリースされる予定になっていたが、ご覧のとおりこの計画通りには進まなかった。JDK6がリリースされて以来、Javaは開発段階にあり次のメジャーバージョンをリリースできないでいる。 こうした状況を受け、Mark Reinhold氏は次の2つのプランを提案。 プランA: 現行のJDK7案をそのまま進める。2012年中期でのリリースが見込まれる。 プランB: 現行のJDK7案からまだ開発に時間が必要と
"Javaの父" ジェームス・ゴスリング氏がOracleを退社 | 経営 | マイコミジャーナル
Java言語の生みの親として広く知られるJames Gosling氏が、4月2日(米国時間)にOracleを退職していたことを個人ブログで明らかにした。 Gosling氏は90年代前半にSun MicrosystemsにおいてJava言語の設計に携わり、その功績から"Javaの父" と目されるようになった。今年1月末にOracleによるSun買収完了が発表された直後、同氏がブログにDukeとTuxがSunの墓標にたたずむ意味深長な画像をアップしたことが話題に。その後、SunでCEOを務めていたJonathan Schwartz氏やXML開発者の1人Tim Bray氏などSunのキーパーソンが次々にOracleを去り、Gosling氏の去就も注目されていた。 Oracle退社に至った理由については「Time to move on...」というブログ書き込みの中で「答えにくい。私の言葉はおおよ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Javaニュース総まとめ: Spring Framework 6.0とSpring Boot 3.0のロードマップ、OpenJDKとQuarkusのアップデート
Java News Roundup: Roadmap for Spring 6.0 and Spring Boot 3.0, OpenJDK and Quarkus Updates
Java News Roundup: JDK 17 Initial RC, OpenJDK, Updates to Open Liberty, Hibernate ORM, Spring Cloud
Facebook、静的解析ツールInferをオープンソース化