Como diria Yogi Berra, o eterno receptor do New York Yankees, membro do Hall da Fama da Major League Baseball e célebre por seus lapsos de linguagem: “É um déjà-vu outra vez.”
Justamente quando todos pensávamos que era seguro voltar de cabeça ao desenvolvimento de aplicações após os transtornos e a turbulência causados pela vulnerabilidade Log4j e pelos ataques Log4Shell, surge mais uma vulnerabilidade monstruosa para abalar a segurança e consumir recursos valiosos.
Como você provavelmente já deve ter ouvido, em 29 de março de 2022, um pesquisador baseado na China publicou capturas de tela de uma vulnerabilidade de execução remota de código (RCE) na biblioteca Java Spring Core. Desde então, a vulnerabilidade recebeu a identificação CVE-2022-22965 e uma pontuação de gravidade CVSS classificada como “Crítica”. A vulnerabilidade, relatada pela VMware, havia sido publicada no GitHub, mas foi rapidamente removida. Infelizmente, o estrago já estava feito, e a vulnerabilidade logo foi publicada em outros repositórios.
Assim como muitas vulnerabilidades graves que recebem ampla atenção da mídia, a CVE-2022-22965 também recebeu um nome popular: Spring4Shell ou, em alguns casos, SpringShell. Independentemente do nome, uma vulnerabilidade com esse nível de gravidade é definitivamente perigosa, pois as bibliotecas Spring são usadas na maioria das aplicações para poupar tempo dos programadores Java.
De acordo com um blog publicado pela Spring como um anúncio preliminar da RCE em 31 de março de 2022, a vulnerabilidade afeta aplicações Spring MVC e Spring WebFlux executadas no Java Development Kit (JDK) 9 ou superior. Também pode ser necessário que a aplicação esteja sendo executada no Apache Tomcat como um arquivo WAR. A vulnerabilidade afeta as versões 5.3.0 a 5.3.17, 5.2.0 a 5.2.19 e versões anteriores do Spring Framework. O que talvez seja ainda mais preocupante é que a Spring também alerta que “a natureza da vulnerabilidade é mais abrangente, e pode haver outras formas de explorá-la que ainda não foram relatadas.”
Além disso, de acordo com a Spring, os aplicativos executados como implantações Java Archive (JAR)—que é a configuração padrão—não são vulneráveis à CVE-2022-22965; no entanto, o fornecedor reconhece que eles podem ser afetados por outras técnicas de exploração.
A vulnerabilidade Spring4Shell também surge logo após outra. No software Spring Cloud Function, nas versões 3.1.6 e 3.2.2, bem como em versões anteriores sem suporte, podem ser criadas expressões de roteamento especialmente elaboradas na Spring Expression Language (SpEL) para acessar recursos locais e possivelmente viabilizar um ataque de execução remota de código (RCE). Originalmente classificada com uma pontuação de gravidade CVSS “Média”, a CVE-2022-22963 foi posteriormente reclassificada como uma vulnerabilidade “Crítica”. As correções estão disponíveis por meio da atualização para as versões 3.1.7 ou 3.2.3 do Spring Cloud Function.
Além das CVE-2022-22965 e CVE-2022-22963, outra vulnerabilidade no Spring, a CVE-2022-22950, foi relatada em 28 de março de 2022. Trata-se de uma vulnerabilidade de negação de serviço (DoS) nas versões 5.3.0 a 5.3.16 do Spring Framework e em versões anteriores sem suporte. O Spring disponibilizou correções no Spring Framework 5.3.17 e versões posteriores.
Até o momento, scanners para o Spring4Shell já foram criados e implantados, e há relatos de que a vulnerabilidade está sendo explorada ativamente.
A Spring lançou versões que corrigem a vulnerabilidade CVE-2022-22965, incluindo o Spring Framework 5.3.18 e 5.2.20; e o Spring Boot 2.5.12, que depende do Spring Framework 5.3.18. (O Spring Boot 2.6.6, que também depende do Spring Framework 5.3.18, deve ser lançado em breve, segundo a Spring.)
Embora o Spring tenha feito um bom trabalho ao lançar correções para solucionar essas vulnerabilidades complexas, mais uma vez cabe às organizações atualizar seus sistemas e aplicar as correções o mais rápido possível. Assim como ocorreu com os problemas do Log4j / Log4Shell, o desafio está na ampla presença dessas bibliotecas e no fato de que elas podem ser usadas em aplicações cuja existência as organizações desconhecem. Se uma organização não souber que uma aplicação está usando um conjunto de bibliotecas afetadas, como poderá proteger a si mesma e seus usuários contra esse exploit?
É aí que entra a F5.
Embora existam semelhanças e diferenças entre as características das vulnerabilidades do framework Spring e as vulnerabilidades do Log4j e os exploits Log4Shell, ambas podem ser detectadas e bloqueadas com a implantação de firewalls de aplicações web (WAFs) e soluções de segurança semelhantes.
Como cliente da F5, você já conta com algumas das proteções mais robustas para se defender contra ataques que exploram o Spring4Shell e vulnerabilidades relacionadas. No entanto, a F5 recomenda que você e suas equipes de desenvolvimento atualizem imediatamente todas as bibliotecas Spring afetadas e, caso não sejam mais necessárias, removam dos seus aplicativos todas as bibliotecas Spring vulneráveis.
Veja como a F5 oferece suporte a você e protege seus aplicativos, sua organização e seus usuários por meio de nosso portfólio abrangente e dinâmico de produtos e serviços de segurança.
Equipe de Resposta a Incidentes de Segurança da F5 (SIRT)
Se você estiver sob ataque ou estiver preocupado com a possibilidade de sua organização e seus aplicativos estarem vulneráveis e expostos, entre em contato com nossa equipe de Suporte da F5 e solicite o encaminhamento para a F5 SIRT. Disponível 24 horas por dia, 7 dias por semana, 365 dias por ano, essa equipe orientará você na aplicação de patches em sistemas e softwares da F5, ajudará com as configurações e auxiliará na implantação de F5 iRules para limitar qualquer exposição ou mitigar ataques.
BIG-IP Advanced WAF
A F5 lançou — e continuará a desenvolver e lançar — conjuntos de assinaturas disponíveis para BIG-IP Advanced WAF e implantações do BIG-IP ASM para bloquear todos os vetores de ataque conhecidos expostos pelas vulnerabilidades do Spring4Shell. As assinaturas também são atualizadas continuamente com proteções contra quaisquer tentativas de evasão. Certifique-se de ter e usar o pacote de atualização de assinaturas de ataque (ASU) mais recente.
Para clientes que não implantaram o Advanced WAF ou o ASM, uma iRule pode ser aplicada ao aplicativo para detectar, registrar e descartar qualquer tráfego mal-intencionado que possa estar explorando CVEs específicas.
NGINX App Protect WAF
A F5 garante uma segurança de aplicações consistente, independentemente da plataforma F5 usada e implantada pelos clientes. Portanto, os clientes do NGINX App Protect WAF receberão as mesmas assinaturas atualizadas simultaneamente aos clientes do BIG-IP Advanced WAF. Certifique-se de atualizar as assinaturas do NGINX App Protect WAF. Para obter mais informações sobre como fazer isso, consulte estas orientações. Além disso, verifique se o tipo de ataque “Injeção de código no lado do servidor” está habilitado em sua política de WAF.
F5 Distributed Cloud WAAP
O recém-lançado F5 Distributed Cloud Web Application and API Protection (WAAP) protege aplicativos e APIs implantados em nuvens e sites de borda com o firewall de aplicações web (WAF) baseado em SaaS e líder do setor da F5, além de proteção contra bots, segurança avançada de APIs e defesa contra DDoS nas camadas L3 a L7. A abordagem de WAF único da F5 garante uma segurança consistente para as aplicações, independentemente da solução da F5 implantada pelos clientes. Portanto, como as assinaturas para lidar com as vulnerabilidades do Spring4Shell já foram criadas e disponibilizadas para o BIG-IP Advanced WAF e o NGINX App Protect WAF, elas também foram disponibilizadas simultaneamente para o Distributed Cloud WAAP. Nenhuma ação adicional é necessária, pois, como cliente do Distributed Cloud WAAP, você já está protegido.
F5 Distributed Cloud WAF
Assim como BIG-IP Advanced WAF, NGINX App Protect e Distributed Cloud WAAP, F5 Distributed Cloud WAF já recebeu as assinaturas necessárias para proteger contra a exposição relacionada às vulnerabilidades do Spring4Shell. Elas estão incluídas na política padrão do WAF, portanto, nenhuma ação adicional é necessária.
F5 Silverline WAF
A implementação das medidas de mitigação necessárias já foi realizada pela equipe F5 Silverline, garantindo aos clientes que suas aplicações estejam protegidas contra o Spring4Shell e vulnerabilidades relacionadas. Monitorando continuamente possíveis ameaças e pronta para aplicar quaisquer medidas de mitigação necessárias, em conjunto com a equipe de pesquisa de ameaças da F5 e com vocês — nossos clientes —, a F5 Silverline SOC amplia sua equipe de AppSec, trabalhando para você 24 horas por dia, 7 dias por semana, 365 dias por ano. Se tiver alguma dúvida sobre o F5 Silverline, entre em contato com a equipe pelo e-mail support@f5silverline.com.
Threat Stack
A Threat Stack, recentemente adquirida pela F5, oferece recursos de inspeção, detecção e geração de relatórios. O serviço Threat Stack inclui regras de detecção que determinam se um comprometimento pelo Spring4Shell representa uma ameaça e podem identificar a inicialização de serviços como root ou a partir de um shell, bem como tentativas de escalonamento de privilégios. Para obter mais informações, entre em contato com seu representante de vendas da F5 ou acesse https://www.threatstack.com.
F5 Distributed Cloud Bot Defense
Uma tentativa de explorar uma vulnerabilidade como a Spring4Shell geralmente começa com um reconhecimento automatizado. F5 Distributed Cloud Bot Defense é sua primeira linha de defesa. Ele pode impedir varreduras automatizadas, dificultando a ação de invasores que tentam descobrir se sua organização possui aplicações web vulneráveis à Spring4Shell. F5 Distributed Cloud Services acompanham as táticas em constante evolução dos invasores que operam botnets, permitindo uma adaptação em tempo real contra ataques automatizados conduzidos por bots.
BIG-IP SSL Orchestrator
Como as bibliotecas Spring são usadas na grande maioria das aplicações baseadas em Java, será um desafio para organizações como a sua determinar toda a extensão das vulnerabilidades e das possíveis explorações decorrentes delas. Também pode levar algum tempo para atualizar todas as aplicações afetadas, caso seja possível encontrar todas elas. Isso pode deixar suas aplicações e sua organização vulneráveis e sujeitas a ataques. F5 SSL Orchestrator torna o tráfego criptografado visível, bloqueando ameaças criptografadas. Ele descriptografa o tráfego que atravessa sua rede, inclusive o tráfego de servidores, e o encaminha automaticamente para cadeias de segurança que você pode definir com base nas soluções da sua pilha de segurança. O SSL Orchestrator não apenas combate ameaças criptografadas, como também pode bloquear tráfego malicioso criptografado, como o tráfego destinado a um servidor de comando e controle (C2). O SSL Orchestrator não só pode mitigar a CVE-2022-22965, como também protege contra futuras vulnerabilidades e explorações.
A F5 ajudará você a se manter atualizado e informado sobre as últimas novidades relacionadas ao Spring4Shell (CVE-2022-22965) e às vulnerabilidades relacionadas, bem como sobre a forma como a F5 está se defendendo e mitigando quaisquer novas explorações decorrentes delas.
À medida que surgirem novas informações, atualizaremos este blog. Para obter mais contexto, você pode acessar os seguintes recursos:
- No F5 Labs: O que são as vulnerabilidades Spring4Shell?
- No F5 DevCentral: O que são as vulnerabilidades Spring4Shell?
- Se você é cliente da F5, o F5 SIRT publicou e continuará atualizando os seguintes artigos da base de conhecimento com informações sobre o status dos produtos F5 e sobre como usar as soluções F5 para mitigar o Spring4Shell:
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...