Como dijo Yogi Berra, el inmortal receptor de los New York Yankees, miembro del Salón de la Fama de las Grandes Ligas de Béisbol y célebre por sus disparates: «Esto es un déjà vu otra vez».
Justo cuando todos pensábamos que ya era seguro volver de lleno al desarrollo de aplicaciones tras los quebraderos de cabeza y la agitación provocados por la vulnerabilidad Log4j y los ataques Log4Shell, aparece otra vulnerabilidad monstruosa dispuesta a hacer mella en la seguridad y devorar valiosos recursos.
Como probablemente ya haya oído, el 29 de marzo de 2022, un investigador afincado en China publicó capturas de pantalla de una vulnerabilidad de ejecución remota de código (RCE) en la biblioteca Java Spring Core. Desde entonces, a la vulnerabilidad se le ha asignado el identificador CVE-2022-22965 y ha recibido una puntuación de gravedad CVSS «crítica». La vulnerabilidad, notificada por VMware, se había publicado en GitHub, pero fue retirada rápidamente. Por desgracia, el daño ya estaba hecho y la vulnerabilidad no tardó en publicarse en otros repositorios.
Como ocurre con muchas vulnerabilidades graves que reciben una amplia cobertura mediática, CVE-2022-22965 también ha recibido un nombre común: Spring4Shell o, en algunos casos, SpringShell. Independientemente del nombre, una vulnerabilidad de esta gravedad es sin duda peligrosa, ya que las bibliotecas de Spring se utilizan en la mayoría de las aplicaciones para ahorrar tiempo a los programadores de Java.
Según una entrada de blog publicada por Spring como anuncio preliminar de la vulnerabilidad RCE el 31 de marzo de 2022, esta afecta a las aplicaciones Spring MVC y Spring WebFlux cuando se ejecutan en Java Development Kit (JDK) 9 o versiones posteriores. También puede ser necesario que la aplicación se ejecute en Apache Tomcat como un archivo WAR. La vulnerabilidad afecta a las versiones de Spring Framework de la 5.3.0 a la 5.3.17, de la 5.2.0 a la 5.2.19 y a versiones anteriores. Y lo que quizá resulte más preocupante: Spring advierte que «la naturaleza de la vulnerabilidad es más general y puede haber otras formas de explotarla que aún no se hayan notificado».
Asimismo, según Spring, las aplicaciones que se ejecutan como implementaciones Java Archive (JAR), que es la opción predeterminada, no son vulnerables a CVE-2022-22965; sin embargo, el proveedor reconoce que podrían verse afectadas por otras técnicas de explotación.
La vulnerabilidad Spring4Shell se produce además poco después de otra. En las versiones 3.1.6 y 3.2.2 del software Spring Cloud Function, así como en versiones anteriores sin soporte, se pueden crear expresiones de enrutamiento especialmente diseñadas en Spring Expression Language (SpEL) para acceder a recursos locales y, posiblemente, permitir un ataque de ejecución remota de código (RCE). CVE-2022-22963, clasificada originalmente con una puntuación de gravedad CVSS «Media», se ha reclasificado posteriormente como una vulnerabilidad «Crítica». Hay correcciones disponibles mediante la actualización a las versiones 3.1.7 o 3.2.3 de Spring Cloud Function.
Al margen de CVE-2022-22965 y CVE-2022-22963, el 28 de marzo de 2022 se notificó otra vulnerabilidad en Spring, CVE-2022-22950. Se trata de una vulnerabilidad de denegación de servicio (DoS) que afecta a las versiones 5.3.0 a 5.3.16 de Spring Framework, así como a versiones anteriores que ya no reciben soporte. Spring ha publicado correcciones en Spring Framework 5.3.17 y versiones posteriores.
A día de hoy, ya se han creado y desplegado escáneres de Spring4Shell, y hay informes que indican que la vulnerabilidad se está explotando activamente.
Spring ha publicado versiones que corrigen la vulnerabilidad CVE-2022-22965, entre ellas Spring Framework 5.3.18 y 5.2.20, y Spring Boot 2.5.12, que depende de Spring Framework 5.3.18. (Según Spring, Spring Boot 2.6.6, que también depende de Spring Framework 5.3.18, debería publicarse próximamente).
Aunque Spring ha actuado correctamente al publicar correcciones para abordar estas complejas vulnerabilidades, una vez más recae en las organizaciones la responsabilidad de actualizar sus sistemas y aplicar las correcciones lo antes posible. Al igual que ocurrió con los problemas de Log4j / Log4Shell, el reto reside en la omnipresencia de las bibliotecas y en el hecho de que pueden utilizarse en aplicaciones sin que las organizaciones sean conscientes de ello. Si una organización desconoce que una aplicación utiliza un conjunto de bibliotecas afectadas, ¿cómo puede protegerse a sí misma y a sus usuarios frente al exploit?
Ahí es donde entra en juego F5.
Aunque existen similitudes y diferencias entre las características de las vulnerabilidades del framework Spring y las vulnerabilidades de Log4j y los exploits de Log4Shell, ambas pueden detectarse y bloquearse mediante la implementación de firewalls de aplicaciones web (WAF) y soluciones de seguridad similares.
Como cliente de F5, ya dispone de algunas de las protecciones más eficaces para defenderse de ataques basados en Spring4Shell y vulnerabilidades relacionadas. No obstante, F5 recomienda encarecidamente que usted y sus equipos de desarrollo actualicen de inmediato todas las bibliotecas de Spring afectadas y, si ya no son necesarias, eliminen de sus aplicaciones todas las bibliotecas de Spring vulnerables.
Así es como F5 le ayuda y protege sus aplicaciones, su organización y sus usuarios mediante nuestra completa y dinámica cartera de productos y servicios de seguridad.
Equipo de Respuesta ante Incidentes de Seguridad de F5 (SIRT)
Si está sufriendo un ataque o le preocupa que su organización y sus aplicaciones sean vulnerables y estén expuestas, póngase en contacto con nuestro equipo de soporte de F5 y solicite que el caso se derive al SIRT de F5. Disponible las 24 horas del día, los 7 días de la semana y los 365 días del año, este equipo le orientará sobre la aplicación de parches en los sistemas y el software de F5, le ayudará con las configuraciones y le asistirá en la implementación de iRules de F5 para limitar cualquier exposición o mitigar los ataques.
BIG-IP Advanced WAF
F5 ha publicado —y seguirá desarrollando y publicando— conjuntos de firmas disponibles para BIG-IP Advanced WAF y las implementaciones de BIG-IP ASM, con el fin de bloquear cualquier vector de ataque conocido expuesto por las vulnerabilidades de Spring4Shell. Las firmas también se actualizan continuamente para ofrecer protección frente a cualquier intento de elusión. Asegúrese de disponer del paquete de actualización de firmas de ataque (ASU) más reciente y de utilizarlo.
Para los clientes que no hayan implementado Advanced WAF o ASM, se puede aplicar una iRule a la aplicación para detectar, registrar y descartar cualquier tráfico malicioso que pueda estar dirigido a vulnerabilidades CVE específicas.
NGINX App Protect WAF
F5 garantiza una seguridad uniforme de las aplicaciones, independientemente de la plataforma F5 que utilicen e implementen los clientes. Por lo tanto, los clientes de NGINX App Protect WAF recibirán las mismas firmas actualizadas al mismo tiempo que los clientes de BIG-IP Advanced WAF. Asegúrese de actualizar las firmas de NGINX App Protect WAF. Para obtener más información sobre cómo hacerlo, consulte estas instrucciones. Asimismo, asegúrese de que el tipo de ataque «Server Side Code Injection» esté habilitado en su política de WAF.
F5 Distributed Cloud WAAP
La solución lanzada recientemente F5 Distributed Cloud Web Application and API Protection (WAAP) protege las aplicaciones y las API implementadas en nubes y ubicaciones perimetrales mediante el firewall de aplicaciones web (WAF) basado en SaaS y la protección contra bots líderes del sector de F5, además de seguridad avanzada para API y defensa contra ataques DDoS de las capas 3 a 7. El enfoque de WAF único de F5 garantiza una seguridad uniforme de las aplicaciones, independientemente de la solución de F5 que implementen los clientes. Por tanto, dado que ya se han creado y puesto a disposición de BIG-IP Advanced WAF y NGINX App Protect WAF firmas para abordar las vulnerabilidades de Spring4Shell, estas también se han puesto a disposición simultáneamente de Distributed Cloud WAAP. No es necesario realizar ninguna acción adicional, ya que, como cliente de Distributed Cloud WAAP, ya está protegido.
F5 Distributed Cloud WAF
Al igual que BIG-IP Advanced WAF, NGINX App Protect y Distributed Cloud WAAP, F5 Distributed Cloud WAF ya ha recibido las firmas necesarias para proteger frente a la exposición relacionada con las vulnerabilidades de Spring4Shell. Estas se incluyen en la política de WAF predeterminada, por lo que no es necesario realizar ninguna acción adicional.
F5 Silverline WAF
El equipo de F5 Silverline ya ha implementado las medidas de mitigación necesarias, lo que garantiza a los clientes que sus aplicaciones están protegidas frente a Spring4Shell y otras vulnerabilidades relacionadas. Mediante la supervisión continua de amenazas y la aplicación de cualquier medida de mitigación necesaria, en colaboración con el equipo de investigación de amenazas de F5 y con ustedes —nuestros clientes—, F5 Silverline SOC amplía su equipo de AppSec y trabaja para ustedes las 24 horas del día, los 7 días de la semana, los 365 días del año. Si tienen alguna pregunta sobre F5 Silverline, pónganse en contacto con el equipo en support@f5silverline.com.
Threat Stack
Threat Stack, adquirida recientemente por F5, ofrece funciones de inspección, detección y generación de informes. El servicio Threat Stack incluye reglas de detección que determinan si una vulneración mediante Spring4Shell supone un riesgo y puede iniciar servicios como usuario root o desde un shell, así como detectar intentos de escalada de privilegios. Para obtener más información, póngase en contacto con su representante de ventas de F5 o visite https://www.threatstack.com.
F5 Distributed Cloud Bot Defense
Un intento de explotar una vulnerabilidad como Spring4Shell suele comenzar con un reconocimiento automatizado. F5 Distributed Cloud Bot Defense es su primera línea de defensa. Puede detener los análisis automatizados, lo que dificulta que los atacantes averigüen si su organización tiene alguna aplicación web vulnerable a Spring4Shell. F5 Distributed Cloud Services se mantiene al día de las tácticas en constante evolución de los atacantes que operan redes de bots, lo que permite adaptarse en tiempo real a los ataques automatizados impulsados por bots.
BIG-IP SSL Orchestrator
Dado que las bibliotecas de Spring se utilizan en la gran mayoría de las aplicaciones basadas en Java, para organizaciones como la suya será difícil determinar el alcance total de las vulnerabilidades y los posibles ataques que estas pueden propiciar. También puede llevarle tiempo actualizar todas las aplicaciones afectadas, si es que consigue localizarlas. Esto puede dejar sus aplicaciones y su organización expuestas a vulnerabilidades y ataques. F5 SSL Orchestrator hace visible el tráfico cifrado y detiene las amenazas que se ocultan en él. Descifra el tráfico que atraviesa su red, incluido el de los servidores, y lo dirige automáticamente a las cadenas de seguridad que puede definir en función de las soluciones de su infraestructura de seguridad. SSL Orchestrator no solo aborda las amenazas cifradas, sino que también puede detener el tráfico malicioso cifrado, como el dirigido a un servidor de mando y control (C2). SSL Orchestrator no solo puede mitigar la vulnerabilidad CVE-2022-22965, sino que también protege frente a futuras vulnerabilidades y ataques.
F5 le ayudará a mantenerse al día e informado sobre las últimas novedades relativas a Spring4Shell (CVE-2022-22965) y las vulnerabilidades relacionadas, así como sobre la forma en que F5 se protege frente a cualquier nuevo exploit que surja y mitiga sus efectos.
A medida que surja nueva información, actualizaremos este blog. Para obtener más contexto, puede consultar los siguientes recursos:
- En F5 Labs: ¿Qué son las vulnerabilidades de Spring4Shell?
- En F5 DevCentral: ¿Qué son las vulnerabilidades de Spring4Shell?
- Si es cliente de F5, el equipo F5 SIRT ha publicado los siguientes artículos de la base de conocimientos, que actualizará continuamente, con información sobre el estado de los productos de F5 y sobre cómo puede utilizar las soluciones de F5 para mitigar Spring4Shell:
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.