Sécurité
Pages enfant
  • ESUP-2022-AVI-001 - CVE-2022-22965

Vous regardez une version antérieure (v. /wiki/display/SECU/ESUP-2022-AVI-001+-+CVE-2022-22965) de cette page.

afficher les différences afficher l'historique de la page

« Afficher la version précédente Vous regardez la version actuelle de cette page. (v. 9) afficher la version suivante »

Utilisation et diffusion de ce document

Les avis de sécurité du consortium ESUP-Portail portent sur des vulnérabilités des logiciels diffusés par le consortium. Il est de la responsabilité de chacun des destinataires de ce document de ne pas le rediffuser en dehors du cadre pour lequel il a été écrit, pour des raisons évidentes de sécurité des Systèmes d'Information de tous les établissements du consortium ESUP-Portail.

Objet

CVE-2022-22965 vis à vis des applications ESUP

Référence

ESUP-2022-AVI-001

Date de la première version

1 avril décembre 2022

Date de la dernière version

1 avril décembre 2022

Source

CVE-2022-22965

Diffusion de cette version

Publique

Historique

Planning prévisionnel

-

Pièces jointes

-

Risque

  • Possibilité pour un attaquant d'envoyer et faire exécuter du code arbitraire à un serveur.

Systèmes affectés

  • Cette vulnérabilité peut impacter les applications spring déployées un jdk 9 ou supérieur, notamment avec un Tomcat (externe)
  • la version 5.3.18 de spring a pour objet de combler la faille.

Description

Suivant l'implémentation des applications et la possibilité pour un anonyme notamment d'effectuer des "POST", cette vulnérabilité est plus ou moins exploitable.

L'exploitation de la faille telle que proposée dans les scripts POC consiste :

  • identifier une url (avec mappage d'objet) comme vulnérable
  • envoyer des paramètres pouvant provoquer l'écriture sur le serveur d'application d'un fichier
  • ce fichier peut correspondre à une jsp qui peut permettre d'exécuter un code arbitraire sur le serveur.

Solutions

Plusieurs solutions sont disponibles.

  • le mieux est de mettre à jour les librairies spring et donc les applications proposant ces mises à jour

  • on peut aussi repasser sur l'usage d'un openjdk 8 puisque seules les versions supérieures permettent l'exploit

  • on peut aussi mettre à jour Tomcat (8.5.78 ou 9.0.62 ou 10.0.20 qui ferment la vulnérabilité connue).

Applications concernées

EsupDematEC 1.9.0 déployée sur un Tomcat avec un jdk11 
EsupDematEC 1.9.1 embarque les librairies spring à jour 

Applications potentiellement concernées

Potentiellement les applications utilisant certaines fonctionnalités de spring-webmvc et déployées un Tomcat avec un jdk9 ou supérieur.

Ainsi des nouvelles versions sont proposées pour Apereo CAS et Shibboleth IdP.

Pour les applications ESUP, de nouvelles versions sont également disponibles pour esup-sgc, esup-nfc-tag, esup-emargement, esup-papercut, esup-pay, esup-signature, ...

Liens


  • Aucune étiquette