Um Yogi Berra zu zitieren, den unvergessenen Catcher der New York Yankees, Mitglied der Baseball Hall of Fame und Meister der sprachlichen Fehlgriffe: „Das ist wieder einmal ein Déjà-vu.“
Gerade als wir alle dachten, wir könnten uns nach den durch die Log4j-Schwachstelle und die Log4Shell-Angriffe verursachten Problemen und Turbulenzen wieder unbesorgt in die Anwendungsentwicklung stürzen, taucht schon die nächste monströse Sicherheitslücke auf, die die Sicherheit beeinträchtigt und wertvolle Ressourcen verschlingt.
Wie Sie wahrscheinlich bereits gehört haben, veröffentlichte ein in China ansässiger Sicherheitsforscher am 29. März 2022 Screenshots zu einer Schwachstelle in der Java-Bibliothek Spring Core, die eine Remotecodeausführung (Remote Code Execution, RCE) ermöglicht. Der Schwachstelle wurde inzwischen die Kennung CVE-2022-22965 zugewiesen und der kritische CVSS-Schweregrad „Critical“ verliehen. Die von VMware gemeldete Schwachstelle war auf GitHub veröffentlicht, jedoch schnell wieder entfernt worden. Leider war der Schaden bereits angerichtet, und die Schwachstelle wurde rasch in anderen Repositorys veröffentlicht.
Wie viele schwerwiegende Sicherheitslücken, die große mediale Aufmerksamkeit erlangen, hat auch CVE-2022-22965 einen allgemein gebräuchlichen Namen erhalten: Spring4Shell oder in manchen Fällen SpringShell. Unabhängig von der Bezeichnung ist eine Sicherheitslücke dieses Schweregrads definitiv gefährlich, da Spring-Bibliotheken in den meisten Anwendungen eingesetzt werden, um Java-Programmierern Zeit zu sparen.
Laut einem von Spring am 31. März 2022 als erste Ankündigung der RCE veröffentlichten Blogbeitrag betrifft die Schwachstelle Spring-MVC- und Spring-WebFlux-Anwendungen, die mit dem Java Development Kit (JDK) 9 oder höher ausgeführt werden. Möglicherweise muss die Anwendung zudem als WAR auf einem Apache Tomcat ausgeführt werden. Die Schwachstelle betrifft die Spring-Framework-Versionen 5.3.0 bis 5.3.17, 5.2.0 bis 5.2.19 sowie ältere Versionen. Noch beunruhigender ist, dass Spring weiter warnt: „Die Schwachstelle ist allgemeiner Natur, und möglicherweise gibt es weitere Möglichkeiten, sie auszunutzen, die bislang noch nicht gemeldet wurden.“
Laut Spring sind Anwendungen, die als Java-Archive-(JAR-)Bereitstellungen ausgeführt werden – was der Standardeinstellung entspricht –, nicht für CVE-2022-22965 anfällig. Der Anbieter räumt jedoch ein, dass sie durch andere Angriffstechniken gefährdet sein könnten.
Die Spring4Shell-Sicherheitslücke folgt unmittelbar auf eine weitere Schwachstelle. In den Versionen 3.1.6 und 3.2.2 der Spring-Cloud-Function-Software sowie in älteren, nicht mehr unterstützten Versionen können speziell präparierte Routing-Ausdrücke in der Spring Expression Language (SpEL) erstellt werden, um auf lokale Ressourcen zuzugreifen und möglicherweise einen RCE-Angriff zu ermöglichen. CVE-2022-22963 wurde ursprünglich mit dem CVSS-Schweregrad „Mittel“ eingestuft, inzwischen jedoch als „kritische“ Sicherheitslücke neu klassifiziert. Fehlerbehebungen sind durch ein Upgrade auf Spring Cloud Function 3.1.7 oder 3.2.3 verfügbar.
Unabhängig von CVE-2022-22965 und CVE-2022-22963 wurde am 28. März 2022 eine weitere Schwachstelle in Spring, CVE-2022-22950, gemeldet. Dabei handelt es sich um eine Denial-of-Service-Schwachstelle (DoS) in den Spring-Framework-Versionen 5.3.0 bis 5.3.16 sowie in älteren, nicht mehr unterstützten Versionen. Spring hat entsprechende Fehlerbehebungen mit Spring Framework 5.3.17 und höher veröffentlicht.
Bis heute wurden bereits Spring4Shell-Scanner entwickelt und eingesetzt, und es gibt Berichte darüber, dass die Schwachstelle aktiv ausgenutzt wird.
Spring hat Versionen veröffentlicht, die die Schwachstelle CVE-2022-22965 beheben, darunter Spring Framework 5.3.18 und 5.2.20 sowie Spring Boot 2.5.12, das von Spring Framework 5.3.18 abhängt. (Spring Boot 2.6.6, das ebenfalls von Spring Framework 5.3.18 abhängt, soll laut Spring in Kürze veröffentlicht werden.)
Spring hat zwar gute Arbeit geleistet und Korrekturen für diese schwerwiegenden Sicherheitslücken veröffentlicht, doch nun liegt es erneut an den Unternehmen, die Updates und Korrekturen so schnell wie möglich einzuspielen. Wie schon bei den Problemen mit Log4j / Log4Shell besteht die Herausforderung darin, dass diese Bibliotheken allgegenwärtig sind und möglicherweise in Anwendungen zum Einsatz kommen, von denen die Unternehmen nichts wissen. Wenn einem Unternehmen nicht bekannt ist, dass eine Anwendung betroffene Bibliotheken verwendet, wie kann es dann sich selbst und seine Nutzer davor schützen, Opfer des Exploits zu werden?
Hier kommt F5 ins Spiel.
Obwohl es bei den Merkmalen der Schwachstellen im Spring Framework und der Log4j-Schwachstellen sowie der Log4Shell-Exploits sowohl Gemeinsamkeiten als auch Unterschiede gibt, können beide durch den Einsatz von Web Application Firewalls (WAFs) und ähnlichen Sicherheitslösungen erkannt und blockiert werden.
Als F5-Kunde verfügen Sie bereits über einige der wirksamsten Schutzmaßnahmen zur Abwehr von Angriffen, die auf Spring4Shell und damit zusammenhängenden Schwachstellen basieren. F5 empfiehlt Ihnen und Ihren Entwicklungsteams jedoch dringend, alle betroffenen Spring-Bibliotheken unverzüglich zu aktualisieren und nicht mehr benötigte anfällige Spring-Bibliotheken aus Ihren Anwendungen zu entfernen.
So unterstützt F5 Sie und schützt Ihre Anwendungen, Ihr Unternehmen und Ihre Benutzer mit unserem umfassenden, dynamischen Portfolio an Sicherheitsprodukten und -services.
F5 Security Incident Response Team (SIRT)
Wenn Sie angegriffen werden oder befürchten, dass Ihr Unternehmen und seine Anwendungen anfällig und ungeschützt sind, wenden Sie sich bitte an unser F5-Supportteam und bitten Sie um eine Eskalation an das F5 SIRT. Dieses rund um die Uhr an 365 Tagen im Jahr verfügbare Team unterstützt Sie beim Patchen von F5-Systemen und -Software, hilft Ihnen bei Konfigurationen und bei der Bereitstellung von F5 iRules, um potenzielle Sicherheitsrisiken zu begrenzen oder Angriffe abzuwehren.
BIG-IP Advanced WAF
F5 hat Signatursätze veröffentlicht und wird auch weiterhin entsprechende Signatursätze entwickeln und veröffentlichen, die für BIG-IP Advanced WAF- und BIG-IP ASM-Bereitstellungen verfügbar sind, um alle bekannten Angriffsvektoren zu blockieren, die durch Spring4Shell-Schwachstellen offengelegt werden. Die Signaturen werden außerdem fortlaufend aktualisiert, um vor Umgehungsversuchen zu schützen. Stellen Sie sicher, dass Sie über das neueste Attack Signature Update (ASU)-Paket verfügen und dieses verwenden.
Für Kunden, die Advanced WAF oder ASM nicht bereitgestellt haben, kann eine iRule auf die Anwendung angewendet werden, um schädlichen Datenverkehr, der möglicherweise auf bestimmte CVEs abzielt, zu erkennen, zu protokollieren und zu verwerfen.
NGINX App Protect WAF
F5 gewährleistet eine einheitliche Anwendungssicherheit, unabhängig davon, welche F5-Plattform Kunden verwenden und bereitstellen. Daher erhalten Kunden von NGINX App Protect WAF dieselben aktualisierten Signaturen zeitgleich mit Kunden von BIG-IP Advanced WAF. Stellen Sie sicher, dass Sie Ihre Signaturen für NGINX App Protect WAF aktualisieren. Weitere Informationen zur Vorgehensweise finden Sie in dieser Anleitung. Stellen Sie außerdem sicher, dass der Angriffstyp „Server Side Code Injection“ in Ihrer WAF-Richtlinie aktiviert ist.
F5 Distributed Cloud WAAP
Die kürzlich veröffentlichte F5 Distributed Cloud Web Application and API Protection (WAAP) schützt Anwendungen und APIs, die in Clouds und an Edge-Standorten bereitgestellt werden, mit der branchenführenden SaaS-basierten Web Application Firewall (WAF) und dem Bot-Schutz von F5 sowie mit fortschrittlicher API-Sicherheit und DDoS-Abwehr auf den Ebenen L3 bis L7. Der einheitliche WAF-Ansatz von F5 gewährleistet konsistente Anwendungssicherheit – unabhängig davon, welches F5-Angebot Kunden einsetzen. Da Signaturen zum Schutz vor den Spring4Shell-Schwachstellen bereits erstellt und für BIG-IP Advanced WAF und NGINX App Protect WAF bereitgestellt wurden, sind sie daher gleichzeitig auch für Distributed Cloud WAAP verfügbar. Es sind keine weiteren Maßnahmen erforderlich, denn als Kunde von Distributed Cloud WAAP sind Sie bereits geschützt.
F5 Distributed Cloud WAF
Wie BIG-IP Advanced WAF, NGINX App Protect und Distributed Cloud WAAP hat auch F5 Distributed Cloud WAF bereits die erforderlichen Signaturen zum Schutz vor einer Gefährdung durch Spring4Shell-Schwachstellen erhalten. Sie sind in der standardmäßigen WAF-Richtlinie enthalten, sodass keine weiteren Maßnahmen erforderlich sind.
F5 Silverline WAF
Die erforderlichen Schutzmaßnahmen wurden bereits vom F5 Silverline-Team umgesetzt, sodass Kunden sicher sein können, dass ihre Anwendungen vor Spring4Shell und damit verbundenen Schwachstellen geschützt sind. Das F5 Silverline SOC überwacht kontinuierlich Bedrohungen und ist jederzeit bereit, in Zusammenarbeit mit dem Bedrohungsforschungsteam von F5 und Ihnen – unseren Kunden – alle erforderlichen Schutzmaßnahmen zu ergreifen. Damit erweitert es Ihr AppSec-Team und ist rund um die Uhr an 365 Tagen im Jahr für Sie im Einsatz. Wenn Sie Fragen zu F5 Silverline haben, wenden Sie sich bitte unter support@f5silverline.com an das Team.
Threat Stack
Threat Stack, das kürzlich von F5 übernommen wurde, bietet Funktionen zur Überprüfung, Erkennung und Berichterstellung. Der Threat-Stack-Dienst umfasst Erkennungsregeln, die feststellen, ob eine Kompromittierung durch Spring4Shell Anlass zur Sorge gibt, und erkennen können, wenn Dienste als Root-Benutzer oder über eine Shell gestartet werden oder Versuche zur Rechteausweitung stattfinden. Weitere Informationen erhalten Sie von Ihrem F5-Vertriebsmitarbeiter oder unter https://www.threatstack.com.
F5 Distributed Cloud Bot Defense
Ein Versuch, eine Schwachstelle wie Spring4Shell auszunutzen, beginnt in der Regel mit einer automatisierten Erkundung. F5 Distributed Cloud Bot Defense ist Ihre erste Verteidigungslinie. Die Lösung kann automatisierte Scans stoppen und es Angreifern so erschweren, herauszufinden, ob Ihr Unternehmen über Webanwendungen verfügt, die für Spring4Shell anfällig sind. F5 Distributed Cloud Services halten mit den sich ständig weiterentwickelnden Taktiken von Angreifern Schritt, die Botnetze betreiben, und ermöglichen so eine Anpassung in Echtzeit zum Schutz vor automatisierten, botgesteuerten Angriffen.
BIG-IP SSL Orchestrator
Da Spring-Bibliotheken in der überwiegenden Mehrheit Java-basierter Anwendungen zum Einsatz kommen, wird es für Unternehmen wie Ihres eine Herausforderung sein, das gesamte Ausmaß der dadurch entstehenden Schwachstellen und potenziellen Exploits zu ermitteln. Zudem kann es einige Zeit dauern, alle betroffenen Anwendungen zu aktualisieren – sofern Sie sie überhaupt alle finden können. Dadurch können Ihre Anwendungen und Ihr Unternehmen anfällig für Angriffe und Ausnutzung bleiben. F5 SSL Orchestrator macht verschlüsselten Datenverkehr sichtbar und wehrt verschlüsselte Bedrohungen ab. Die Lösung entschlüsselt den Datenverkehr in Ihrem Netzwerk, einschließlich des Server-Datenverkehrs, und leitet ihn automatisch an Sicherheitsketten weiter, die Sie auf Grundlage der Lösungen in Ihrem Sicherheits-Stack definieren können. SSL Orchestrator bekämpft nicht nur verschlüsselte Bedrohungen, sondern kann auch verschlüsselten schädlichen Datenverkehr stoppen, beispielsweise Datenverkehr zu einem Command-and-Control-Server (C2). SSL Orchestrator kann nicht nur CVE-2022-22965 entschärfen, sondern schützt auch vor zukünftigen Schwachstellen und Exploits.
F5 hält Sie über die neuesten Entwicklungen rund um Spring4Shell (CVE-2022-22965) und damit verbundene Schwachstellen sowie darüber auf dem Laufenden, wie F5 sich gegen daraus entstehende weitere Exploits schützt und diese eindämmt.
Sobald neue Informationen vorliegen, werden wir diesen Blog aktualisieren. Weitere Hintergrundinformationen finden Sie in den folgenden Ressourcen:
- Auf F5 Labs: Was sind die Spring4Shell-Sicherheitslücken?
- Auf F5 DevCentral: Was sind die Spring4Shell-Sicherheitslücken?
- Wenn Sie F5-Kunde sind, hat das F5 SIRT die folgenden KB-Artikel veröffentlicht, die fortlaufend aktualisiert werden. Darin finden Sie Informationen zum Status von F5-Produkten und dazu, wie Sie Spring4Shell mithilfe von F5-Lösungen eindämmen können:
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...