Spring4Shell

En el mundo de software, Spring es un framework (o marco de trabajo) popular que utilizan los desarrolladores para crear aplicaciones. Sin embargo, como en cualquier sistema, puede tener a veces vulnerabilidades o fallas. La vulnerabilidad Spring4Shell es una de esas. Es una debilidad dentro de Spring Framework que permite a los atacantes inyectar comandos o scripts maliciosos en el sistema, posiblemente consiguiendo acceso no autorizado o control sobre una aplicación.

Spring Framework, cuya empresa matriz es VMware, es un marco de código abierto que proporciona un soporte de infraestructura completo para desarrollar aplicaciones en el lenguaje de programación Java. Se creó para simplificar el desarrollo de aplicaciones de nivel empresarial y promover buenas prácticas de programación y patrones de diseño. Ofrece numerosas funciones y módulos que ayudan a los desarrolladores a crear aplicaciones robustas y escalables. Algunas características importantes de Spring Framework son:

Estas, entre otras características simplifican el desarrollo de aplicaciones Java y fomentan las buenas prácticas de desarrollo de software proporcionando un conjunto completo de herramientas para aplicaciones tecnológicamente especializadas.

Spring Framework experimentó importantes contratiempos en marzo del año pasado. El primero fue registrada como CVE-2022-22963, que afectaba a Spring Cloud. El impacto que tuvo esta vulnerabilidad fue bastante alto porque era fácil de explotar, sin embargo, era bastante bajo en términos de disponibilidad, ya que sólo afectaba a los servicios que ejecutaban Spring Cloud en la versión 3.1.6 y anteriores (para 3.1.x), y 3.2.2 y anteriores (para 3.2.x). Fue corregido poco después de detectarse. Sin embargo, un par de días después de la corrección, el 29 de marzo de 2022, se encontró una vulnerabilidad crítica que afectaba a Spring Framework. Registrada como CVE-2022-22965, la vulnerabilidad afectaba a las aplicaciones Spring MVC y Spring WebFlux utilizando JDK 9 o superior. La aplicación afectada necesitaba ejecutarse en Tomcat como un despliegue WAR para ser explotada. La naturaleza de la vulnerabilidad era general y había varias formas de explotarla, permitiendo a los atacantes introducir código malicioso aleatorio en la aplicación y ejecutarlo. Llamada Spring4Shell por su parecido con otra vulnerabilidad de ejecución remota de código (RCE), Log4Shell; Spring Framework se vio seriamente comprometido debido a su uso extensivo en el desarrollo de aplicaciones web. Spring intentó ser rápido en liberar información conocida sobre la vulnerabilidad y proporcionó una solución provisional para sus usuarios. En este artículo hablaremos de la vulnerabilidad Spring4Shell, ya que hay otras vulnerabilidades descubiertas en el mismo framework pero menos críticas o menos extendidas.

Los atacantes pueden explotar la vulnerabilidad Spring4Shell enviando una petición especialmente diseñada a un servidor web que ejecute el framework Spring Core. Esta petición debe contener ciertos tipos de parámetros vinculantes, que se utiliza para cargar el código malicioso, y una vez cargado, puede ser ejecutado por la aplicación, dando al atacante el control sobre esta. La ejecución remota de código puede lograrse en versiones impactadas de Spring Framework, explotando la función de anotación RequestMapping a través de la petición creada. Aprovechando esta característica, un atacante puede acceder y modificar propiedades de clases anidadas debido a la manera en que Spring Core realiza la solicitud de vinculación de parámetros mediante serialización.

Según Microsoft, estas son las características que tienen los sistemas afectados:

Un ataque exitoso de vulnerabilidades Spring4Shell puede tener graves consecuencias que incluyen el robo de datos sensibles, tales como información de clientes, datos financieros o propiedad intelectual. Los atacantes también podrían instalar malware en el sistema de la víctima o tomar el control del mismo. Algunos actores de amenazas también podrían penetrar e instalar un web shell, que compromete los servidores web, y utilizarla para lanzar nuevos ataques. Es de destacar que, aunque un gran número de instalaciones de Spring eran vulnerables, no todas las aplicaciones Spring fueron penetradas.

El impacto de Spring4Shell en 2022 fue global, teniendo su mayor efecto en Europa, donde el 20% de las organizaciones que utilizaban Spring Framework sufrieron al menos un intento de explotación. Por industrias, los sectores más atacados fueron los proveedores de software, seguidos por los sectores de la educación y la investigación, y los sectores legal y de seguros.

Estas vulnerabilidades permiten ataques de ejecución de código remoto pero están presentes en dos frameworks diferentes utilizados en el desarrollo de aplicaciones Java que sirven a diferentes propósitos. Ambas se generaron en componentes de código abierto y se explotaron como vulnerabilidades de día cero y tienen una puntuación CVSS cualitativa crítica; sin embargo, presentan diferencias importantes.

Log4Shell es una vulnerabilidad en el marco de registro Log4j, es decir, puede utilizarse para registrar mensajes durante el tiempo de ejecución de la aplicación. Log4Shell es relativamente fácil de explotar, puede afectar a una amplia gama de aplicaciones Java, incluyendo servidores web, servicios en la nube y dispositivos IoT, y podría llevar a comprometer por completo el sistema. Por otro lado, Spring4Shell, una vulnerabilidad en Spring Framework, es más difícil de explotar y afecta a un menor número de aplicaciones.

A pesar de ser más difícil de explotar, Spring4Shell sigue siendo una vulnerabilidad grave ya que los desarrolladores que utilizan Spring deben primero identificar la vulnerabilidad y luego proceder con un proceso por pasos para solucionarla. Fluid Attacks tiene sus propios métodos de prueba para análisis de composición de software (SCA), que pueden escanear y revelar riesgos de ciberseguridad relacionados con componentes de código abierto y de terceros, como Log4j y Spring Framework.

Es importante que las organizaciones y los desarrolladores estén al tanto de vulnerabilidades como Spring4Shell; saber qué aplicaciones utilizan Spring Framework (y que por lo tanto, podrían estar exponiendo el sistema a ataques) es estar un paso adelante. De este modo las organizaciones y los desarrolladores pueden garantizar la seguridad e integridad de sus aplicaciones y proteger a sus usuarios finales de posibles ataques. El primer paso para gestionar vulnerabilidades es disponer de herramientas que puedan detectarlas, y aquí en Fluid Attacks puedes contar con nuestro servicio integral, Hacking Continuo, que no sólo incluye herramientas automatizadas como SAST o SCA, sino también pruebas de penetración realizadas por hackers éticos profesionales que encuentran, explotan, e informan sobre las vulnerabilidades de tu software. Nuestro plan Advanced ofrece precisamente eso, una combinación sólida de conocimientos humanos y herramientas de escaneo, haciendo que el despliegue de tu software sea a prueba de balas. También puedes hacer clic aquí para probar nuestro plan Essential de Hacking Continuo gratis durante 21 días. No dudes en contactarnos y comienza a utilizar nuestras soluciones ya.