A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding.
A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.
- Опубликовано
- 1 апр. 2022 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 99,6 % · 100-й процентиль
- CWE
- CWE-94
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
99
Срочно
Установите исправление сегодня или закройте доступ.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 30 / 30 · В списке
- EPSS
- 30 / 30 · 99,6 %
Решение CISA SSVC
- Эксплуатация
- активная
- Автоматизируемо
- да
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Активно эксплуатируется
CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 4 апр. 2022 г.. Это указывает на реальные атаки, а не теорию.
Срок устранения для госорганов: 25 апр. 2022 г..
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЗатронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| vmware | spring framework | cpe:2.3:a:vmware:spring_framework |
| oracle | jdk | cpe:2.3:a:oracle:jdk |
| cisco | cx cloud agent | cpe:2.3:a:cisco:cx_cloud_agent |
| oracle | communications cloud native core automated test suite | cpe:2.3:a:oracle:communications_cloud_native_core_automated_test_suite |
| oracle | communications cloud native core console | cpe:2.3:a:oracle:communications_cloud_native_core_console |
| oracle | communications cloud native core network exposure function | cpe:2.3:a:oracle:communications_cloud_native_core_network_exposure_function |
| oracle | communications cloud native core network function cloud native environment | cpe:2.3:a:oracle:communications_cloud_native_core_network_function_cloud_native_environment |
| oracle | communications cloud native core network repository function | cpe:2.3:a:oracle:communications_cloud_native_core_network_repository_function |
| oracle | communications cloud native core network slice selection function | cpe:2.3:a:oracle:communications_cloud_native_core_network_slice_selection_function |
| oracle | communications cloud native core policy | cpe:2.3:a:oracle:communications_cloud_native_core_policy |
| oracle | communications cloud native core security edge protection proxy | cpe:2.3:a:oracle:communications_cloud_native_core_security_edge_protection_proxy |
| oracle | communications cloud native core unified data repository | cpe:2.3:a:oracle:communications_cloud_native_core_unified_data_repository |
и ещё 27
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- cisco cx cloud agentдо 2.1.0
- oracle commerce platform11.3.2
- oracle communications cloud native core automated test suite1.9.0
- oracle communications cloud native core automated test suite22.1.0
- oracle communications cloud native core binding support function22.1.3
- oracle communications cloud native core console1.9.0
- oracle communications cloud native core console22.1.0
- oracle communications cloud native core network exposure function22.1.0
- oracle communications cloud native core network function cloud native environment1.10.0
- oracle communications cloud native core network function cloud native environment22.1.0
- oracle communications cloud native core network repository function1.15.0
- oracle communications cloud native core network repository function22.1.0
- oracle communications cloud native core network slice selection function1.15.0
- oracle communications cloud native core network slice selection function1.8.0
- oracle communications cloud native core network slice selection function22.1.0
- oracle communications cloud native core policy1.15.0
- oracle communications cloud native core policy22.1.0
- oracle communications cloud native core security edge protection proxy1.7.0
- oracle communications cloud native core security edge protection proxy22.1.0
- oracle communications cloud native core unified data repository1.15.0
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (vmware). Не зависят от анализа CPE в NVD и обычно опережают его.
n/a Spring Framework
- Spring Framework versions 5.3.X prior to 5.3.18+, 5.2.x prior to 5.2.20+ and all old and unsupported versionsзатронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:12 | libspring-java | все версии | — |
| Maven | org.springframework:spring-beans | с 5.3.0 · до 5.3.18 | 5.3.18 |
| Maven | org.springframework:spring-beans | до 5.2.20.RELEASE | 5.2.20.RELEASE |
| Maven | org.springframework:spring-webflux | с 5.3.0 · до 5.3.18 | 5.3.18 |
| Maven | org.springframework:spring-webflux | до 5.2.20.RELEASE | 5.2.20.RELEASE |
| Maven | org.springframework:spring-webmvc | с 5.3.0 · до 5.3.18 | 5.3.18 |
| Maven | org.springframework:spring-webmvc | до 5.2.20.RELEASE | 5.2.20.RELEASE |
| Maven | org.springframework.boot:spring-boot-starter-web | с 2.6.0 · до 2.6.6 | 2.6.6 |
| Maven | org.springframework.boot:spring-boot-starter-web | до 2.5.12 | 2.5.12 |
| Maven | org.springframework.boot:spring-boot-starter-webflux | с 2.6.0 · до 2.6.6 | 2.6.6 |
| Maven | org.springframework.boot:spring-boot-starter-webflux | до 2.5.12 | 2.5.12 |
Тот же продукт
vmware: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2018-1270Spring Framework, versions 5.0 prior to 5.0.5 and versions 4.3 prior to 4.3.15 and older unsupported versions, allow applications to expose 62На этой неделе
- CVE-2020-5398RFD Attack via "Content-Disposition" Header Sourced from Request Input by Spring MVC or Spring WebFlux Application57В плане
- CVE-2018-1275Spring Framework, versions 5.0 prior to 5.0.5 and versions 4.3 prior to 4.3.16 and older unsupported versions, allow applications to expose 56В плане
- CVE-2016-1000027Pivotal Spring Framework through 5.3.16 suffers from a potential remote code execution (RCE) issue if used for Java deserialization of untru49В плане
- CVE-2026-59313Server Sent Event stream corruption in Spring MVC functional web framework39Наблюдать
- CVE-2026-47892Spring Framework Header Predicate Bypass in WebFlux Functional Endpoints39Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| Maven:org.springframework:spring-beans | 5.2.20.RELEASE | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-beans | 5.3.18 | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-webflux | 5.2.20.RELEASE | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-webflux | 5.3.18 | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-webmvc | 5.2.20.RELEASE | Реестр пакетов (OSV) |
| Maven:org.springframework:spring-webmvc | 5.3.18 | Реестр пакетов (OSV) |
| Maven:org.springframework.boot:spring-boot-starter-web | 2.5.12 | Реестр пакетов (OSV) |
| Maven:org.springframework.boot:spring-boot-starter-web | 2.6.6 | Реестр пакетов (OSV) |
| Maven:org.springframework.boot:spring-boot-starter-webflux | 2.5.12 | Реестр пакетов (OSV) |
| Maven:org.springframework.boot:spring-boot-starter-webflux | 2.6.6 | Реестр пакетов (OSV) |
Статус эксплойта
Готовый эксплойт
Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.
Доказательство
- Модуль Metasploit ×1
- Шаблон обнаружения Nuclei ×2
- Репозиторий PoC на GitHub ×50
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Модуль Metasploit | exploit/multi/http/spring_framework_rce_spring4shellSpring Framework Class property RCE (Spring4Shell)exploit | 2022-03-31 |
| Шаблон обнаружения Nuclei | Шаблон Nuclei spring4shell-CVE-2022-22965 | — |
| Шаблон обнаружения Nuclei | Шаблон Nuclei CVE-2022-22965 | — |
| Репозиторий PoC на GitHub | stars:376 | 2022-03-30 |
| Репозиторий PoC на GitHub | stars:50 | 2022-03-30 |
| Репозиторий PoC на GitHub | stars:131 | 2022-03-30 |
| Репозиторий PoC на GitHub | stars:325 | 2022-03-31 |
| Репозиторий PoC на GitHub | stars:17 | 2022-03-31 |
| Репозиторий PoC на GitHub | stars:19 | 2022-03-31 |
| Репозиторий PoC на GitHub | stars:27 | 2022-03-31 |
| Репозиторий PoC на GitHub | stars:26 | 2022-03-31 |
| Репозиторий PoC на GitHub | stars:32 | 2022-03-31 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Первый PoC-3 дн.
- Metasploit-2 дн.
- Публикация
- CISA KEV+2 дн.
- Сегодня10 окт. 2026 г.+1653 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-22-0516 · 1 авг. 2022 г.(Apple Güvenlik Güncellemesi)
- TR-22-0281 · 4 апр. 2022 г.(Trend Micro Güvenlik Güncellemesi)
- TR-22-0280 · 4 апр. 2022 г.(Zyxel Güvenlik Güncellemesi)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-94 · Improper Control of Generation of Code ('Code Injection')Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- packetstormsecurity.com/files/167011/Spring4Shell-Spring-Framework-Class-Property-Remote-Code-Execution.html
- cert-portal.siemens.com/productcert/pdf/ssa-254054.pdf
- psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0005
- tanzu.vmware.com/security/cve-2022-22965
- tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-java-spring-rce-Zx9GUc67
- www.oracle.com/security-alerts/cpuapr2022.html
- www.oracle.com/security-alerts/cpujul2022.html
- www.kb.cert.org/vuls/id/970766
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22965
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.