Es gibt einen neuen Fehler in Java, der das Internet und Dienste betrifft

Internetsicherheit ist ein Dauerthema und immer wieder treten Probleme mit der neuen Spring4Shell auf. Sie fragen Benutzer und ihre Daten sowie die auf diesen Plattformen angebotenen Dienste ab.

Dies ist ein weiterer Fehler in Java und seinen Komponenten mit einem hohen Schweregrad. Nach Log4j ist dies ein weiteres ernstes Problem, das so schnell wie möglich gelöst werden muss, um die Sicherheit aller zu gewährleisten.

Spring4Shell: Neuer Java-Fehler
Eine neue Untersuchung von Sicherheitsexperten hat einen weiteren Fehler in Java aufgedeckt.  Dies ist im Spring Core Java-Framework und heißt "Spring4Shell", nachdem es der Öffentlichkeit bekannt gegeben wurde. CVE-2022-22963das bekanntermaßen die Remoteausführung von nicht authentifiziertem Code in Anwendungen ermöglicht.
Es folgt der gleichen bekannten Log4j-Schriftart und ist sehr relevant.  Dadurch werden Dienste, die dieses Framework verwenden, anfällig für Angriffe verschiedener Art.  Der zu untersuchende Code ist in bestimmten Kreisen bereits verfügbar und wird bekanntermaßen verwendet.

Java Springcore RCE 0day Exploit wurde geleakt.  Es wurde von einem chinesischen Sicherheitsforscher geleakt, der seinen Twitter-Account gelöscht hat, nachdem er geteilt und/oder geleakt wurde.
Wir haben den Exploit nicht verifiziert.
tl;  Toller Arzt, wenn das stimmt
Laden Sie 0day POC hier herunter: https://t.co/SgPCdI00TS
- vx-underground (vxunderground) 30. März 2022
Gefährdete Apps und Dienste
Obwohl der neue Spring4Shell-Fehler noch in der Evaluierung ist, scheint er kritisch zu sein und wahrscheinlich Dienste und Anwendungen dort offenzulegen, wo sie sich befinden.  Wenn die Voraussetzungen erfüllt sind, ist es möglich, Dateien auf Servern abzulegen, die anschließend zum Datendiebstahl verwendet werden.
Die gute Nachricht kam jedoch, um den Prozess zu beruhigen.  Die anfängliche Analyse ergab, dass „Spring Beans“ erforderlich ist, wobei „Spring Parameter Binding“ verwendet wird, und „Spring Parameter Binding“ sollte so konfiguriert werden, dass ein nicht grundlegender Parametertyp wie POJOs verwendet wird.

Die folgende harmlose Reihenfolge kann verwendet werden, um die Anfälligkeit zu testen Tweet einbetten 0 Tag RCE.  Ein HTTP 400-Rückgabecode weist auf eine Sicherheitslücke hin.
$ curl Host: Port/Pfad?  class.module.classLoader.URLs %5B0%5D = 0#spring_shell #Spring4Shell #Informationssicherheit
RandoriAttack 30. März 2022
Jetzt sind Updates notwendig
Die Empfehlung lautet nun, alle Anwendungen und Dienste zu aktualisieren, die Java Version 9 oder höher verwenden.  Fixes werden in den kommenden Tagen erwartet und die Spring4Shell-Schwachstelle wird dauerhaft entfernt.
Siehe auch  Forscher schlagen eine Idee vor, die verspricht, Stalking mithilfe von AirTags-Trackern zu verhindern
Es wird angenommen, dass es den gleichen Effekt wie Log4j haben könnte, und in vielen Fällen muss dies noch gelöst werden.  Aufgrund der Anforderungen zur Ausnutzung dieses Fehlers ist es noch zu früh, um zu sagen, wie viele Apps und Dienste gefährdet sein könnten.