CVE-2022-22965: Spring4Shell ClassLoader Binding RCE

Analyse technique détaillée du code source et mesures de durcissement pour CVE-2022-22965 : Source code teardown of Spring4Shell (CVE-2022-22965): Java BeanWrapper property navigation into Tomcat AccessLogValve to write a webshell to disk.

💡 Explication en Langage Simple (ELI5)

Analogie concrète : Imagine ordering a customized sandwich online: bread=wheat, cheese=cheddar. But the ordering form lets you type 'kitchen.oven.temperature=5000' and the restaurant's computer blindly adjusts the restaurant's actual kitchen machinery! In Spring4Shell, an attacker used standard HTTP parameters to navigate into the internal Java classloader, telling the web server to create a new log file called 'shell.jsp' and write executable hacker commands into it.

Concepts Clés et Termes

Open Source Systems: Composant d'architecture clé affecté par CWE-Security.
CWE-Security: Classification standard Common Weakness Enumeration (CWE) pour cve-2022-22965-spring4shell.
Defense-in-Depth: Vérification d'ingénierie multicouche et isolation des limites à l'exécution.

Analyse de Cause Racine

La cause fondamentale provient de paramètres de limites non validés dans les systèmes open source, permettant une désynchronisation d'état et le contournement des contrôles de sécurité.

Déroulement de l'Attaque Étape par Étape

Step 1

Tomcat Logging Property Binding

Attacker submits HTTP POST parameters targeting Tomcat's class loader: class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell.

Step 2

JSP Extension & Pattern Configuration

Attacker sets the log suffix to .jsp and pattern to an executable JSP webshell snippet.

Step 3

Webshell File Creation

Tomcat's AccessLogValve flushes access logs, creating webapps/ROOT/shell.jsp with executable payload code.

Step 4

Arbitrary Remote Command Execution

Attacker accesses http://victim/shell.jsp?cmd=whoami, executing arbitrary commands with web server privileges.

Code Source : Vulnérable vs Sécurisé

✕ IMPLÉMENTATION VULNÉRABLE

// VULNERABLE: Only blocked 'classLoader' directly, missing 'module'
if (Class.class == beanClass && ("classLoader".equals(pd.getName()) || 
    "protectionDomain".equals(pd.getName()))) {
    continue; // Bypassed via class.module.classLoader on Java 9+
}

✓ PATCH SÉCURISÉ ET ROBUSTE

// FIXED: Strictly restrict all Class property access except 'name'
if (Class.class == beanClass && (!"name".equals(pd.getName()))) {
    continue; // Disallows classLoader, module, and all reflection entry points
}

Liste de Contrôle de Sécurité pour l'Ingénierie

✓Règle de sécurité recommandée : Attacker submits HTTP POST parameters targeting Tomcat's log configuration: class.module.classLoader.resources.context.parent.pipeline.first.prefix=shell.
✓Règle de sécurité recommandée : Attacker sets the suffix to .jsp and pattern to an executable JSP webshell snippet.:.
✓Règle de sécurité recommandée : Tomcat creates webapps/ROOT/shell.jsp and writes the payload into it.:.
✓Règle de sécurité recommandée : Attacker accesses http://victim/shell.jsp?cmd=whoami, executing arbitrary commands with web server privileges.