了解并应对Spring4Shell及相关漏洞（CVE-2022-22965、CVE-2022-22950、CVE-2022-22963）

F5生态系统 | 2022年4月01日

借用纽约洋基队传奇捕手、美国职业棒球大联盟名人堂成员、妙语频出的约吉·贝拉的一句话：“似曾相识的一幕又重演了。”

就在大家以为，经历了Log4j漏洞和Log4Shell攻击带来的痛苦与动荡后，终于可以安心重返应用开发之际，又一个棘手的漏洞出现了，不仅侵蚀安全防线，还会吞噬宝贵资源。

您可能已经听说，2022年3月29日，一名来自中国的研究人员发布了Spring Core Java库中一个远程代码执行（RCE）漏洞的截图。此后，该漏洞被分配了编号CVE-2022-22965，CVSS严重性评级为“严重”。该漏洞由VMware报告，曾发布到GitHub，但很快被删除。遗憾的是，为时已晚，该漏洞很快又被发布到其他代码仓库。

与许多受到媒体广泛关注的严重漏洞一样，CVE-2022-22965也有一个通用名称：Spring4Shell，有时也称为SpringShell。无论名称如何，这种严重程度的漏洞都十分危险，因为大多数应用程序都使用Spring库来帮助Java程序员节省时间。

根据Spring于2022年3月31日发布的一篇博客（该博客是对这一远程代码执行（RCE）漏洞的早期公告），此漏洞会影响在Java Development Kit (JDK) 9及更高版本上运行的Spring MVC和Spring WebFlux应用程序。该漏洞可能还要求应用程序以WAR形式在Apache Tomcat上运行。受影响的Spring Framework版本包括5.3.0至5.3.17、5.2.0至5.2.19以及更早版本。更令人担忧的是，Spring还警告称：“此漏洞具有更广泛的影响，可能还存在其他尚未报告的利用方式。”

此外，据Spring称，以Java归档文件（JAR）形式部署的应用（这是默认部署方式）不受CVE-2022-22965漏洞影响；但该供应商承认，这些应用可能会受到其他利用技术的影响。

Spring4Shell漏洞出现之前不久，还出现了另一个漏洞。在Spring Cloud Function软件3.1.6版、3.2.2版以及更早且已停止支持的版本中，攻击者可以构造特制的Spring表达式语言（SpEL）路由表达式，以访问本地资源，并可能发起远程代码执行（RCE）攻击。CVE-2022-22963的CVSS严重性评分最初为“中危”，后来被重新归类为“严重”漏洞。升级到Spring Cloud Function 3.1.7版或3.2.3版即可获得修复。

除CVE-2022-22965和CVE-2022-22963外，Spring中的另一个漏洞CVE-2022-22950于2022年3月28日被报告。该拒绝服务（DoS）漏洞影响Spring Framework 5.3.0至5.3.16版本以及更早且已停止支持的版本。Spring已在Spring Framework 5.3.17及更高版本中发布修复。

截至目前，Spring4Shell扫描器已被创建并部署，已有报告称该漏洞正遭到主动利用。

Spring已发布修复CVE-2022-22965漏洞的版本，包括Spring Framework 5.3.18和5.2.20，以及依赖Spring Framework 5.3.18的Spring Boot 2.5.12。（据Spring称，同样依赖Spring Framework 5.3.18的Spring Boot 2.6.6应会很快发布。）

尽管Spring及时发布了修复程序来解决这些棘手的漏洞，但各组织仍需尽快更新并应用修复程序。与Log4j和Log4Shell问题类似，挑战在于这些库无处不在，而且可能被用于组织并不知情的应用程序中。如果组织不知道某个应用程序使用了受影响的库，又该如何保护自身及其用户免受漏洞利用的影响？

这正是F5可以发挥作用的地方。

尽管Spring框架漏洞与Log4j漏洞和Log4Shell漏洞利用在特征上既有相似之处，也存在差异，但部署Web应用防火墙（WAF）及类似安全解决方案可以检测并阻止这两类威胁。

作为F5客户，您已部署了强有力的防护措施，可抵御利用Spring4Shell及相关漏洞发起的攻击。不过，F5强烈建议您和您的开发团队立即升级所有受影响的Spring库；如果不再需要这些库，请从应用中移除所有存在漏洞的Spring库。

F5通过全面、动态的安全产品和服务组合，为您提供支持，并保护您的应用、组织和用户。

F5安全事件响应团队（SIRT）

如果您正遭受攻击，或担心贵组织及其应用存在漏洞并面临风险，请联系F5支持团队，并请求将问题升级至F5 SIRT。该团队全年全天候提供服务，将指导您修补F5系统和软件、协助完成配置，并帮助部署F5 iRules，以降低暴露风险或缓解攻击。

BIG-IP Advanced WAF

F5已发布并将继续完善和发布可用于BIG-IP Advanced WAF和BIG-IP ASM部署的签名集，以阻止Spring4Shell漏洞暴露的任何已知攻击途径。签名也在持续更新，以防范任何绕过尝试。请确保已获取并使用最新的攻击签名更新（ASU）包。

对于尚未部署Advanced WAF或ASM的客户，可对应用程序应用iRule，以检测、记录并丢弃可能针对特定CVE的任何恶意流量。

NGINX App Protect WAF

无论客户使用和部署哪种F5平台，F5都能确保一致的应用安全性。因此，NGINX App Protect WAF客户将与BIG-IP Advanced WAF客户同时收到相同的更新签名。请务必更新NGINX App Protect WAF签名。有关更新方法的更多信息，请参阅此指南。此外，请确保在WAF策略中启用“服务器端代码注入”攻击类型。

F5 Distributed Cloud WAAP

近期发布的F5 Distributed Cloud Web Application and API Protection (WAAP)通过F5基于SaaS的Web应用防火墙（WAF）和机器人防护、高级API安全以及L3-L7 DDoS防御，为部署在云和边缘站点的应用及API提供保护。F5的统一WAF方法可确保客户无论部署哪种F5产品，都能获得一致的应用安全防护。因此，针对Spring4Shell漏洞的签名在创建并提供给BIG-IP Advanced WAF和NGINX App Protect WAF的同时，也已提供给Distributed Cloud WAAP。无需采取其他措施，因为作为Distributed Cloud WAAP客户，您已受到保护。

F5 Distributed Cloud WAF

与BIG-IP Advanced WAF、NGINX App Protect和Distributed Cloud WAAP一样，F5 Distributed Cloud WAF已获得防范Spring4Shell漏洞暴露风险所需的签名。这些签名已包含在默认WAF策略中，无需执行其他操作。

F5 Silverline WAF

必要的缓解措施已由F5 Silverline团队实施，确保客户的应用免受Spring4Shell及相关漏洞的影响。通过持续监控威胁，并随时准备与F5威胁研究团队及客户协同采取任何必要的缓解措施，F5 Silverline SOC可扩展您的AppSec团队，全年无休地为您提供全天候服务。如对F5 Silverline有任何疑问，请发送电子邮件至support@f5silverline.com与团队联系。

Threat Stack

F5近期收购的Threat Stack可提供检查、检测和报告功能。Threat Stack服务包含检测规则，可确定是否存在Spring4Shell入侵风险，并可检测以root身份或从shell启动服务以及尝试提权的行为。如需了解更多信息，请联系F5销售代表或访问https://www.threatstack.com。

F5 Distributed Cloud Bot Defense

利用Spring4Shell等漏洞的攻击通常始于自动侦察。F5 Distributed Cloud Bot Defense是第一道防线。它可以阻止自动扫描，让攻击者更难确定贵组织是否存在易受Spring4Shell漏洞影响的Web应用。F5 Distributed Cloud Services可持续应对僵尸网络攻击者不断演变的策略，从而实时调整防护措施，抵御由机器人驱动的自动化攻击。

BIG-IP SSL Orchestrator

由于绝大多数基于Java的应用都使用Spring库，贵组织可能难以确定由此产生的漏洞和潜在利用的完整影响范围。即使能够找出所有受影响的应用，完成更新也可能需要一段时间。在此期间，应用和组织可能面临漏洞被利用的风险。F5 SSL Orchestrator可让加密流量变得可见，从而阻止加密威胁。它会解密通过网络的流量，包括服务器流量，并根据安全堆栈中的解决方案，自动将流量路由到可自定义的安全链。SSL Orchestrator不仅能应对加密威胁，还能阻止加密的恶意流量，例如发往命令与控制（C²）服务器的流量。SSL Orchestrator不仅能缓解CVE-2022-22965，还能防范未来的漏洞和利用。

F5将帮助您及时了解Spring4Shell（CVE-2022-22965）及相关漏洞的最新动态，以及F5如何防御和缓解由此引发的其他漏洞利用。

如有新信息，我们将更新本博客。如需了解更多背景信息，可访问以下资源：