Inicio / Alerta Temprana / Avisos Sci / [Actualización 29/04/2022] Vulnerabilidad Spring4Shell en Spring Framework afecta a Sistemas de Control Industrial

[Actualización 29/04/2022] Vulnerabilidad Spring4Shell en Spring Framework afecta a Sistemas de Control Industrial

Fecha de publicación: 
20/04/2022
Importancia: 
5 - Crítica
Recursos afectados: 
  • Productos del fabricante Siemens:
    • Operation Scheduler, versiones anteriores a la 2.0.4;
    • SiPass integrated V2.80, todas las versiones;
    • SiPass integrated V2.85, todas las versiones;
    • Siveillance Identity V1.5, todas las versiones;
    • Siveillance Identity V1.6, todas las versiones.
Descripción: 

Se ha revelado una vulnerabilidad en Spring Framework denominada Spring4Shell, que podría permitir a un atacante remoto, no autentificado, la ejecución de código.

Solución: 
  • Para los productos Siemens:
    • Operation Scheduler, actualizar a la versión 2.0.4 o superior;
    • SiPass integrated V2.80, aplicar el parche;
    • SiPass integrated V2.85, aplicar el parche;
    • Siveillance Identity V1.5 y V1.6, aún no hay parche disponible. Se recomienda bloquear las conexiones entrantes y salientes entre el sistema e Internet.
Detalle: 

La vulnerabilidad Spring4Shell afecta a las aplicaciones Spring MVC y Spring WebFlux que se ejecutan en JDK 9+. El exploit requiere que la aplicación se ejecute en Tomcat como un despliegue WAR. Si la aplicación se despliega como un JAR ejecutable de Spring Boot (configuración por defecto) no es vulnerable.

La explotación de esta vulnerabilidad requiere un endpoint con DataBinder habilitado y depende en gran medida del contenedor de servlets de la aplicación. Se ha asignado el identificador CVE-2022-22965 para esta vulnerabilidad.

Encuesta valoración