VMware Tanzu Spring Framework: Schwachstelle ermöglicht Ausführen von beliebigem Programmcode

Summary

Product

Vulnerabilities 1

• Critical 9.8
  CVE-2022-22965 Exploited Public exploit Scanner template EPSS 100%

  Remote Code Execution in Spring Framework

  A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot…

  libspring-java libspring-java org.springframework:spring-webmvc org.springframework:spring-webflux Debian Ubuntu Maven
  Apr 1, 2022

  KEV Apr 4, 2022

Revision history

1. 2024-12-18 #17

   Neue Updates von Ubuntu aufgenommen

2. 2022-06-01 #16

   Neue Updates von Red Hat aufgenommen

3. 2022-05-26 #15

   Neue Updates von HITACHI aufgenommen

4. 2022-05-11 #14

   Neue Updates von Atlassian aufgenommen

5. 2022-04-27 #13

   Neue Updates von IBM aufgenommen

6. 2022-04-26 #12

   Neue Updates von Red Hat aufgenommen

7. 2022-04-18 #11

   Neue Updates von Red Hat aufgenommen

8. 2022-04-13 #10

   Neue Updates von Red Hat aufgenommen

9. 2022-04-12 #9

   Neue Informationen von Cisco und Lenovo aufgenommen

10. 2022-04-11 #8

    Neue Updates von Red Hat aufgenommen

11. 2022-04-10 #7

    Neue Updates aufgenommen

12. 2022-04-06 #6

    Anpassung

13. 2022-04-05 #5

    Neue Updates von HCL aufgenommen

14. 2022-04-04 #4

    Neue Informationen von Unify aufgenommen

15. 2022-04-03 #3

    Neue Updates von Tomcat, Cisco, SonicWall und VMware aufgenommen

16. 2022-03-31 #2

    CVE und neue Updates aufgenommen

17. 2022-03-30 #1

    Initiale Fassung

References

• Rapid7 Blog Post vom 2022-03-30
  https://www.rapid7.com/blog/post/2022/03/30/spring4shell-zero-day-vulnerability-in-spring-framework/
• Sonatype Blog
  https://blog.sonatype.com/new-0-day-spring-framework-vulnerability-confirmed
• Artikel von Praetorian
  https://www.praetorian.com/blog/spring-core-jdk9-rce/
• Spring Cloud Advisory vom 2022-03-30
  https://www.springcloud.io/post/2022-03/spring-0day-vulnerability/
• Spring Boot 2.6.6 available now vom 2022-03-31
  https://spring.io/blog/2022/03/31/spring-boot-2-6-6-available-now
• Spring Boot 2.5.12 available now vom 2022-03-31
  https://spring.io/blog/2022/03/31/spring-boot-2-5-12-available-now
• Spring Framework RCE vom 2022-03-31
  https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
• Cisco Security Advisory CISCO-SA-JAVA-SPRING-RCE-ZX9GUC67 vom 2022-04-02
  https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
• SonicWall Security Advisory SNWLID-2022-0005 vom 2022-04-02
  https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0005
• VMware Security Advisory VMSA-2022-0010 vom 2022-04-02
  https://www.vmware.com/security/advisories/VMSA-2022-0010.html
• Apache Tomcat Release Notes
  https://tomcat.apache.org/
• Unify Security Advisory Report OBSO-2204-01 vom 2022-04-04
  https://networks.unify.com/security/advisories/OBSO-2204-01.pdf
• HCL Article KB0097763 vom 2022-04-06
  https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0097763
• Solarwinds Documentation for Security Event Manager
  https://documentation.solarwinds.com/en/success_center/sem/content/release_notes/sem_2022-2_release_notes.htm
• Red Hat Security Advisory RHSA-2022:1306 vom 2022-04-11
  https://access.redhat.com/errata/RHSA-2022:1306
• Cisco Security Advisory CISCO-SA-JAVA-SPRING-RCE-ZX9GUC67 vom 2022-04-12
  https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
• Red Hat Security Advisory RHSA-2022:1333 vom 2022-04-13
  https://access.redhat.com/errata/RHSA-2022:1333
• IBM Security Bulletin 6571299 vom 2022-04-13
  https://www.ibm.com/blogs/psirt/security-bulletin-ibm-security-soar-is-affected-but-not-classified-as-vulnerable-to-remote-code-execution-in-spring-framework-cve-2022-22965/
• Lenovo Security Advisory LEN-87699 vom 2022-04-13
  https://support.lenovo.com/us/en/product_security/LEN-87699
• Red Hat Security Advisory RHSA-2022:1360 vom 2022-04-13
  https://access.redhat.com/errata/RHSA-2022:1360
• Red Hat Security Advisory RHSA-2022:1379 vom 2022-04-15
  https://access.redhat.com/errata/RHSA-2022:1379
• Red Hat Security Advisory RHSA-2022:1378 vom 2022-04-15
  https://access.redhat.com/errata/RHSA-2022:1378
• Red Hat Security Advisory RHSA-2022:1626 vom 2022-04-27
  https://access.redhat.com/errata/RHSA-2022:1626
• Red Hat Security Advisory RHSA-2022:1627 vom 2022-04-27
  https://access.redhat.com/errata/RHSA-2022:1627
• IBM Security Bulletin 6575577 vom 2022-04-28
  https://www.ibm.com/blogs/psirt/security-bulletin-ibm-infosphere-information-server-is-affected-by-a-remote-code-execution-in-spring-framework-cve-2022-22965/
• Atlassian Security Advisory JSWSERVER-21350 vom 2022-05-11
  https://jira.atlassian.com/browse/JSWSERVER-21350
• Hitachi Vulnerability Information HITACHI-SEC-2022-114 vom 2022-05-27
  https://www.hitachi.co.jp/Prod/comp/soft1/global/security/info/vuls/hitachi-sec-2022-114/index.html
• Red Hat Security Advisory RHSA-2022:4880 vom 2022-06-02
  https://access.redhat.com/errata/RHSA-2022:4880
• Ubuntu Security Notice USN-7165-1 vom 2024-12-18
  https://ubuntu.com/security/notices/USN-7165-1