Spring4Shell

Définition

Spring4Shell (CVE-2022-22965) est une vulnérabilité de désérialisation Java dans Spring Framework permettant l'exécution de code à distance sur des applications Spring MVC ou Spring WebFlux déployées sur Tomcat avec JDK 9+. Divulguée en mars 2022 dans un contexte de comparaisons avec Log4Shell, elle présente un niveau de complexité d'exploitation plus élevé mais un impact similaire. La vulnérabilité exploite le mécanisme de DataBinding de Spring : quand Spring mappe des paramètres HTTP vers des objets Java, il peut traverser la hiérarchie d'objets via des expressions comme class.module.classLoader.URLs[0]. Sur Tomcat, cela permet de modifier la configuration du ClassLoader pour déployer une webshell JSP dans le répertoire ROOT de Tomcat. Les conditions d'exploitation : JDK 9 ou supérieur (qui expose l'API de module), déploiement sur Tomcat (pas sur d'autres containers comme Jetty ou Undertow), et Spring MVC ou WebFlux avec des endpoints acceptant des paramètres liés à des objets Plain Old Java Object (POJO). L'exploitation écrit une webshell JSP en modifiant les paramètres du ClassLoader Tomcat via des requêtes GET/POST avec des paramètres spécialement construits. La webshell est accessible depuis le navigateur et permet l'exécution de commandes OS. Des PoCs publics (comme CVE-2022-22965-PoC sur GitHub) automatisent l'exploitation. Spring a corrigé la vulnérabilité dans Spring Framework 5.3.18 et 5.2.20. La mitigation temporaire consiste à restreindre les DataBinders pour exclure les propriétés 'class' des objets liables.