CVE-2022-22965: Spring4Shell ClassLoader Binding RCE

Análisis técnico del código fuente y mitigaciones de ingeniería para CVE-2022-22965: Source code teardown of Spring4Shell (CVE-2022-22965): Java BeanWrapper property navigation into Tomcat AccessLogValve to write a webshell to disk.

💡 Explicación en Lenguaje Sencillo (ELI5)

Analogía práctica: Imagine ordering a customized sandwich online: bread=wheat, cheese=cheddar. But the ordering form lets you type 'kitchen.oven.temperature=5000' and the restaurant's computer blindly adjusts the restaurant's actual kitchen machinery! In Spring4Shell, an attacker used standard HTTP parameters to navigate into the internal Java classloader, telling the web server to create a new log file called 'shell.jsp' and write executable hacker commands into it.

Conceptos Clave y Términos

Open Source Systems: Componente de arquitectura central afectado por CWE-Security.
CWE-Security: Clasificación estándar Common Weakness Enumeration (CWE) para cve-2022-22965-spring4shell.
Defense-in-Depth: Verificación de ingeniería multicapa y aislamiento de límites en tiempo de ejecución.

Análisis de Causa Raíz

La causa raíz se debe a parámetros de límite no validados en sistemas de código abierto, lo que permite la desincronización de estado y la elusión de controles de seguridad.

Flujo de Ataque Paso a Paso

Step 1

Tomcat Logging Property Binding

Attacker submits HTTP POST parameters targeting Tomcat's class loader: class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell.

Step 2

JSP Extension & Pattern Configuration

Attacker sets the log suffix to .jsp and pattern to an executable JSP webshell snippet.

Step 3

Webshell File Creation

Tomcat's AccessLogValve flushes access logs, creating webapps/ROOT/shell.jsp with executable payload code.

Step 4

Arbitrary Remote Command Execution

Attacker accesses http://victim/shell.jsp?cmd=whoami, executing arbitrary commands with web server privileges.

Código Fuente: Vulnerable vs. Seguro

✕ IMPLEMENTACIÓN VULNERABLE

// VULNERABLE: Only blocked 'classLoader' directly, missing 'module'
if (Class.class == beanClass && ("classLoader".equals(pd.getName()) || 
    "protectionDomain".equals(pd.getName()))) {
    continue; // Bypassed via class.module.classLoader on Java 9+
}

✓ PARCHE SEGURO Y ROBUSTO

// FIXED: Strictly restrict all Class property access except 'name'
if (Class.class == beanClass && (!"name".equals(pd.getName()))) {
    continue; // Disallows classLoader, module, and all reflection entry points
}

Lista de Verificación de Seguridad para Ingeniería

✓Práctica de seguridad recomendada: Attacker submits HTTP POST parameters targeting Tomcat's log configuration: class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell.
✓Práctica de seguridad recomendada: Attacker sets the suffix to .jsp and pattern to an executable JSP webshell snippet.:.
✓Práctica de seguridad recomendada: Tomcat creates webapps/ROOT/shell.jsp and writes the payload into it.:.
✓Práctica de seguridad recomendada: Attacker accesses http://victim/shell.jsp?cmd=whoami, executing arbitrary commands with web server privileges.