San Spring4Shell, che fioriva nei binding

Patrono delle applicazioni Java, dei framework usati da tutti e dei weekend di patch improvvisate.

Vita

Il 30 marzo 2022 emerse la CVE-2022-22965 nel framework Spring: manipolando il meccanismo che collega i parametri di una richiesta agli oggetti Java, su certe configurazioni, un attaccante poteva scrivere file ed eseguire codice. Serviva Spring MVC su un server Tomcat dispiegato come WAR; le applicazioni Spring Boot a jar erano al sicuro. Il nome e il periodo ricordavano Log4Shell, e scatenò la stessa corsa agli aggiornamenti.

Preghiera

O San Spring4Shell, che fiorisci dove si legano i parametri, fa' che i nostri binding non concedano più di quanto chiediamo. Amen.

Come si festeggia

Si festeggia aggiornando Spring Framework alle versioni corrette e controllando come sono dispiegate le applicazioni Java.

Primavera nei binding, grane fino all'estate.