⬇ Scarica il santino: ·
San Spring4Shell, che fioriva nei binding
Patrono delle applicazioni Java, dei framework usati da tutti e dei weekend di patch improvvisate.
Vita
Il 30 marzo 2022 emerse la CVE-2022-22965 nel framework Spring: manipolando il meccanismo che collega i parametri di una richiesta agli oggetti Java, su certe configurazioni, un attaccante poteva scrivere file ed eseguire codice. Serviva Spring MVC su un server Tomcat dispiegato come WAR; le applicazioni Spring Boot a jar erano al sicuro. Il nome e il periodo ricordavano Log4Shell, e scatenò la stessa corsa agli aggiornamenti.
Preghiera
O San Spring4Shell, che fiorisci dove si legano i parametri, fa' che i nostri binding non concedano più di quanto chiediamo. Amen.
Come si festeggia
Si festeggia aggiornando Spring Framework alle versioni corrette e controllando come sono dispiegate le applicazioni Java.
Primavera nei binding, grane fino all'estate.