Lỗ hổng thực thi mã từ xa đe doạ các ứng dụng dùng Spring Framework - Hãy cập nhật bản vá ngay

[WhiteHat News #ID:2018]

Các nhà nghiên cứu an ninh đã phát hiện ra ba lỗ hổng trong Spring Development Framework, một trong số đó là lỗ hổng thực thi mã từ xa nghiêm trọng cho phép kẻ tấn công từ xa thực thi mã tuỳ ý trên các ứng dụng được dựng trên nền tảng này.

Spring Framework là framework mã nguồn mở phổ biến, gọn nhẹ dùng để phát triển các ứng dụng doanh nghiệp trên nền tảng Java.

Chi tiết về ba lỗ hổng được phát hiện trong các phiên bản Spring Framework 5.0 đến 5.0.4, 4.3 đến 4.3.14 và các phiên bản cũ mà Spring đã ngừng hỗ trợ:

• Mức nghiêm trọng: Thực thi mã từ xa qua spring-messaging (CVE-2018-1270)
• Mức độ cao: Tấn công Directory Traversal (cho phép hacker truy cập vào các thư mục và tập tin cấm trên máy chủ) qua Spring MVC trên Windows (CVE-2018-1271)
• Mức độ thấp: Tấn công Multipart Content Pollution qua Spring Framework (CVE-2018-1272)

Các phiên bản Spring Framework dính lỗ hổng để lộ các STOMP client qua các WebSocket endpoint với một phần mềm trung gian STOMP trên bộ nhớ thông qua module spring-messaging, cho phép kẻ tấn công gửi một thông điệp độc hại đến phần mềm trung gian, dẫn đến một cuộc tấn công thực thi mã từ xa (CVE-2018-1270).

Lỗ hổng thứ 2, CVE-2018-1271 nằm trong mô hình Web Model-view-controller (MVC) của Spring cho phép kẻ tấn công thực thi tấn công directory traversal và truy cập các thư mục bị cấm khi cấu hình phục vụ các nguồn tĩnh như CSS, JS, các hình ảnh từ một hệ thống file trên Windows.

Lỗ hổng này sẽ không xuất hiện nếu người dùng không sử dụng Windows để cung cấp nội dung và có thể tránh được nếu không dùng các file từ hệ thống file hoặc sử dụng Tomcat/WildFly làm máy chủ.

Công ty Pivotal đã phát hành bản Spring Framework 5.0.5 và 4.3.15 để vá ba lỗ hổng này. Bên cạnh đó hãng này cũng cập nhật Spring Boot 2.0.1 và 1.5.11 để phù hợp với các phiên bản Spring Framework được vá.

Các nhà phát triển và quản trị viên khuyến cáo người dùng nên cập nhật phần mềm của mình lên phiên bản mới nhất ngay lập tức.

Theo The Hacker News​