CVE-2022-22965
KritikAktif istismar ediliyor (CISA KEV)
Açıklama
JDK 9+ üzerinde çalışan bir Spring MVC veya Spring WebFlux uygulaması, veri bağlama (data binding) yoluyla uzaktan kod çalıştırmaya (RCE) karşı savunmasız olabilir. Söz konusu istismar, uygulamanın Tomcat üzerinde bir WAR dağıtımı olarak çalışmasını gerektirir. Uygulama, varsayılan olduğu gibi bir Spring Boot yürütülebilir jar olarak dağıtılmışsa bu istismara karşı savunmasız değildir. Ancak, zafiyetin doğası daha geneldir ve bunu istismar etmenin başka yolları olabilir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
VMware Spring Framework
Yayın1 Nis 2022
İlk görülme1 Nis 2022
KEV'e eklenme4 Nis 2022
Zayıflık türüCWE-94Kod enjeksiyonu
Nasıl düzeltilir
CISA'nın istediği eylem
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 25 Nis 2022Güncelleyin
- vmware spring_framework5.2.20, 5.3.18 ya da sonraki bir sürüm
- cisco cx_cloud_agent2.1.0 ya da sonraki bir sürüm
- oracle mysql_enterprise_monitor8.0.29 ya da sonraki bir sürüm
- siemens operation_scheduler2.0.4 ya da sonraki bir sürüm
- siemens simatic_speech_assistant_for_machines1.2.1 ya da sonraki bir sürüm
- siemens sinec_network_management_system1.0.3 ya da sonraki bir sürüm
- org.springframework:spring-beans5.2.20.RELEASE, 5.3.18 ya da sonraki bir sürüm
- org.springframework:spring-webmvc5.2.20.RELEASE, 5.3.18 ya da sonraki bir sürüm
- org.springframework.boot:spring-boot-starter-web2.5.12, 2.6.6 ya da sonraki bir sürüm
- org.springframework:spring-webflux5.2.20.RELEASE, 5.3.18 ya da sonraki bir sürüm
- org.springframework.boot:spring-boot-starter-webflux2.5.12, 2.6.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_framework | v < 5.2.20, 5.3.0 ≤ v < 5.3.18 | 5.2.20, 5.3.18 |
| cisco cx_cloud_agent | v < 2.1.0 | 2.1.0 |
| oracle communications_cloud_native_core_automated_test_suite | 1.9.0, 22.1.0 | — |
| oracle communications_cloud_native_core_console | 1.9.0, 22.1.0 | — |
| oracle communications_cloud_native_core_network_exposure_function | 22.1.0 | — |
| oracle communications_cloud_native_core_network_function_cloud_native_environment | 1.10.0, 22.1.0 | — |
| oracle communications_cloud_native_core_network_repository_function | 1.15.0, 22.1.0 | — |
| oracle communications_cloud_native_core_network_slice_selection_function | 1.8.0, 1.15.0, 22.1.0 | — |
| oracle communications_cloud_native_core_policy | 1.15.0, 22.1.0 | — |
| oracle communications_cloud_native_core_security_edge_protection_proxy | 1.7.0, 22.1.0 | — |
| oracle communications_cloud_native_core_unified_data_repository | 1.15.0, 22.1.0 | — |
| oracle communications_policy_management | 12.6.0.0.0 | — |
| oracle financial_services_analytical_applications_infrastructure | 8.1.1, 8.1.2.0 | — |
| oracle financial_services_behavior_detection_platform | 8.1.1.0, 8.1.1.1, 8.1.2.0 | — |
| oracle financial_services_enterprise_case_management | 8.1.1.0, 8.1.1.1, 8.1.2.0 | — |
| oracle mysql_enterprise_monitor | v < 8.0.29 | 8.0.29 |
| oracle product_lifecycle_analytics | 3.6.1 | — |
| oracle retail_xstore_point_of_service | 20.0.1, 21.0.0 | — |
| oracle sd-wan_edge | 9.0, 9.1 | — |
| siemens operation_scheduler | v < 2.0.4 | 2.0.4 |
| siemens sipass_integrated | 2.80, 2.85 | — |
| siemens siveillance_identity | 1.5, 1.6 | — |
| veritas access_appliance | 7.4.3, 7.4.3.100, 7.4.3.200 | — |
| veritas flex_appliance | 1.3, 2.0, 2.0.1, 2.0.2, 2.1 | — |
| veritas netbackup_flex_scale_appliance | 2.1, 3.0 | — |
| veritas netbackup_appliance | 4.0, 4.0.0.1, 4.1, 4.1.0.1 | — |
| veritas netbackup_virtual_appliance | 4.0, 4.0.0.1, 4.1, 4.1.0.1 | — |
| siemens simatic_speech_assistant_for_machines | v < 1.2.1 | 1.2.1 |
| siemens sinec_network_management_system | v < 1.0.3 | 1.0.3 |
| oracle commerce_platform | 11.3.2 | — |
| oracle communications_cloud_native_core_binding_support_function | 22.1.3 | — |
| oracle communications_unified_inventory_management | 7.4.1, 7.4.2, 7.5.0 | — |
| oracle retail_bulk_data_integration | 16.0.3 | — |
| oracle retail_customer_management_and_segmentation_foundation | 17.0, 18.0, 19.0 | — |
| oracle retail_financial_integration | 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1 | — |
| oracle retail_integration_bus | 14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1 | — |
| oracle retail_merchandising_system | 16.0.3, 19.0.1 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| org.springframework:spring-beansMaven | v < 5.2.20.RELEASE, 5.3.0 ≤ v < 5.3.18 | 5.2.20.RELEASE, 5.3.18 |
| org.springframework:spring-webmvcMaven | v < 5.2.20.RELEASE, 5.3.0 ≤ v < 5.3.18 | 5.2.20.RELEASE, 5.3.18 |
| org.springframework.boot:spring-boot-starter-webMaven | v < 2.5.12, 2.6.0 ≤ v < 2.6.6 | 2.5.12, 2.6.6 |
| org.springframework:spring-webfluxMaven | v < 5.2.20.RELEASE, 5.3.0 ≤ v < 5.3.18 | 5.2.20.RELEASE, 5.3.18 |
| org.springframework.boot:spring-boot-starter-webfluxMaven | v < 2.5.12, 2.6.0 ≤ v < 2.6.6 | 2.5.12, 2.6.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.