CVE-2022-22947
VMware Spring Cloud Gateway Code Injection Vulnerability
Beschreibung
CVE-2022-22947 ist eine Code-Injection-Schwachstelle in VMware Spring Cloud Gateway, die Remote-Code-Ausführung ermöglicht, wenn der Gateway-Actuator-Endpunkt aktiviert, exponiert und ungesichert ist. Ein Angreifer kann diese Schwachstelle ausnutzen, um beliebige Spring Expression Language (SpEL)-Ausdrücke über die Actuator-API einzuschleusen, was zur Ausführung beliebigen Codes auf dem Server führt. CISA hat die aktive Ausnutzung bestätigt und CVE-2022-22947 in den Known Exploited Vulnerabilities Katalog aufgenommen. Mit einem EPSS-Perzentil von 99,99 % gehört diese Schwachstelle zu den am aktivsten ausgenutzten Java-Framework-Schwachstellen und stellt eine kritische Bedrohung für Organisationen dar, die Spring Cloud Gateway mit exponierten Actuator-Endpunkten betreiben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | spring cloud gateway | < 3.0.7; 3.1.0 |
| oracle | commerce guided search | 11.3.2 |
| oracle | communications cloud native core binding support function | 1.11.0; 22.1.3 |
| oracle | communications cloud native core console | 22.2.0 |
| oracle | communications cloud native core network exposure function | 22.1.0 |
| oracle | communications cloud native core network function cloud native environment | 1.10.0 |
| oracle | communications cloud native core network repository function | 1.15.0; 1.15.1; 22.1.2; 22.2.0 |
| oracle | communications cloud native core network slice selection function | 1.8.0; 22.1.0 |
| oracle | communications cloud native core security edge protection proxy | 22.1.1 |
| oracle | communications cloud native core service communication proxy | 1.15.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166219/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/168742/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://tanzu.vmware.com/security/cve-2022-22947(Mitigation, Vendor Advisory)
- https://www.oracle.com/security-alerts/cpuapr2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujul2022.html(Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22947(US Government Resource)
Schwachstellentyp
CWE-94: Fehlerhafte Kontrolle der Codegenerierung (Code Injection)
CWE-94 beschreibt eine Schwachstelle, bei der ein Produkt einem Angreifer ermöglicht, über speziell präparierte Eingaben beliebigen Code einzuschleusen und auszuführen. Bei CVE-2022-22947 versagt Spring Cloud Gateway bei der ordnungsgemäßen Validierung und Einschränkung von Ausdrücken, die über den Actuator-Endpunkt übermittelt werden, was einem Angreifer ermöglicht, Spring Expression Language (SpEL)-Code einzuschleusen, der auf dem Server mit den Privilegien der Anwendung ausgeführt wird.
Weitere Informationen: CWE-94 — Improper Control of Generation of Code (Code Injection)
Auswirkungsanalyse
CVE-2022-22947 ist eine Code-Injection-Schwachstelle in Spring Cloud Gateway, die nicht authentifizierte Remote-Code-Ausführung ermöglicht, wenn der Gateway-Actuator-Endpunkt ohne Authentifizierung exponiert ist. Der Angriff ist netzwerkbasiert und erfordert keine Authentifizierung, keine besonderen Privilegien und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes auf dem Server mit den vollen Privilegien der Spring-Cloud-Gateway-Anwendung, was zu vollständiger Serverkompromittierung führen kann. Das EPSS-Perzentil von 99,99 % bestätigt, dass diese Schwachstelle mit nahezu absoluter Sicherheit ausgenutzt wird. Spring Cloud Gateway wird häufig als API-Gateway in Microservices-Architekturen eingesetzt, was bedeutet, dass ein kompromittiertes Gateway den gesamten API-Verkehr abfangen und manipulieren kann, der durch es hindurchfließt, und damit mehrere nachgelagerte Dienste betrifft.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-22947 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 6. Juni 2022 aufgenommen. Das EPSS-Perzentil von 99,99 % platziert diese Schwachstelle an der absoluten Spitze der Ausnutzungswahrscheinlichkeit. Öffentlicher Proof-of-Concept-Exploit-Code wurde kurz nach der Offenlegung veröffentlicht, und Massenausnutzungskampagnen gegen exponierte Spring-Cloud-Gateway-Actuator-Endpunkte wurden weltweit beobachtet. Mehrere Bedrohungsakteure, darunter Botnet-Betreiber und Advanced-Persistent-Threat-Gruppen, wurden bei der Ausnutzung dieser Schwachstelle für Kryptowährungs-Mining, Webshell-Bereitstellung und Datendiebstahl dokumentiert.
Behebung
- Aktualisieren Sie Spring Cloud Gateway auf eine Version, die CVE-2022-22947 behebt, wie in der VMware/Spring-Sicherheitsempfehlung angegeben. CISA verlangt eine Behebung bis zum 6. Juni 2022.
- Deaktivieren Sie den Gateway-Actuator-Endpunkt, wenn er für den Betrieb nicht erforderlich ist. Falls der Actuator aktiviert bleiben muss, sichern Sie ihn mit starker Authentifizierung und beschränken Sie den Zugang auf vertrauenswürdige Verwaltungsnetzwerke.
- Implementieren Sie Netzwerk-Level-Zugriffskontrollen, um sicherzustellen, dass Actuator-Endpunkte niemals dem öffentlichen Internet oder nicht vertrauenswürdigen Netzwerksegmenten ausgesetzt sind.
- Setzen Sie eine Web Application Firewall (WAF) mit Regeln zur Erkennung und Blockierung von SpEL-Injection-Versuchen in HTTP-Anfragen gegen Actuator-Endpunkte ein.
- Überprüfen Sie alle Spring-Cloud-Gateway-Bereitstellungen auf exponierte Actuator-Endpunkte und prüfen Sie Zugriffsprotokolle auf Anzeichen von Ausnutzung, einschließlich ungewöhnlicher Routenerstellungsanfragen oder SpEL-Ausdrücken in Anfrageparametern.
Technische Details
CVE-2022-22947 nutzt die Routenerstellungsfunktionalität des Spring-Cloud-Gateway-Actuator-Endpunkts aus, die das dynamische Hinzufügen und Ändern von Gateway-Routen über HTTP-API-Aufrufe ermöglicht. Wenn ein Angreifer eine speziell präparierte Anfrage zur Erstellung oder Änderung einer Route sendet, kann er eine Filterdefinition mit einem Spring Expression Language (SpEL)-Ausdruck einfügen. Das Gateway verarbeitet diesen Ausdruck ohne angemessene Validierung oder Sandboxing, wodurch er von der SpEL-Evaluierungsengine ausgewertet wird. SpEL ist eine mächtige Ausdruckssprache, die Methodenaufrufe, Objektkonstruktion und Zugriff auf die Java-Laufzeitumgebung unterstützt. Durch Erstellung eines SpEL-Ausdrucks, der Runtime.exec() oder ähnliche Methoden aufruft, kann ein Angreifer beliebige Betriebssystembefehle auf dem Server ausführen. Der Actuator-Endpunkt ist in neueren Spring-Boot-Versionen standardmäßig deaktiviert, aber viele Bereitstellungen aktivieren ihn zu Monitoring-Zwecken und versäumen es, ihn ordnungsgemäß abzusichern.
Häufig gestellte Fragen
Wird CVE-2022-22947 aktiv ausgenutzt?
Ja, CVE-2022-22947 wird massenhaft ausgenutzt. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 99,99 % bestätigt, dass sie zu den am häufigsten ausgenutzten Schwachstellen gehört. Massenausnutzungskampagnen gegen exponierte Actuator-Endpunkte sind breit dokumentiert.
Welche Produkte sind von CVE-2022-22947 betroffen?
CVE-2022-22947 betrifft VMware Spring Cloud Gateway, wenn der Actuator-Endpunkt aktiviert und exponiert ist. Konsultieren Sie die VMware/Spring-Sicherheitsempfehlung für die spezifischen betroffenen Versionen.
Wie behebe ich CVE-2022-22947?
Aktualisieren Sie Spring Cloud Gateway auf die gepatchte Version. Deaktivieren Sie den Actuator-Endpunkt, wenn er nicht benötigt wird, oder sichern Sie ihn mit Authentifizierung und Netzwerkzugriffskontrollen. Exponieren Sie Actuator-Endpunkte niemals im öffentlichen Internet.
Wie schwerwiegend ist CVE-2022-22947?
CVE-2022-22947 ist eine kritische Code-Injection-Schwachstelle mit einem EPSS-Perzentil von 99,99 %. Sie ermöglicht nicht authentifizierte Remote-Code-Ausführung auf API-Gateways, die den Verkehr für mehrere Dienste routen. Eine Kompromittierung kann alle nachgelagerten Dienste und durchfließenden Daten betreffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.