Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-94

CVE-2022-22965

Spring Framework JDK 9+ veri bağlamada uzaktan kod çalıştırma açığı

Spring Framework

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1670 gün
Kaydı açan
vmware
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 4 Nis 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 25 Nis 2022.

Yönetici özeti

Yaygın kullanılan Spring Framework bileşenindeki bu kritik açık, saldırganların internet üzerinden sunucularınızı ele geçirmesine olanak tanıyabilir. Açığın aktif olarak istismar edildiği bilinmektedir. Etkilenen uygulamaların bir an önce güncellenmesi gerekir.

ÖzetTürkçe

JDK 9 ve üzeri üzerinde çalışan Spring MVC veya Spring WebFlux uygulamaları, veri bağlama (data binding) mekanizması üzerinden uzaktan kod çalıştırmaya karşı savunmasız olabilir. Bilinen istismar yöntemi, uygulamanın Tomcat üzerinde WAR paketi olarak dağıtılmasını gerektirir. Varsayılan yöntem olan Spring Boot çalıştırılabilir jar olarak dağıtılan uygulamalar bu istismardan etkilenmez; ancak açığın yapısı daha geneldir ve başka istismar yolları bulunabilir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesindedir.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan bir saldırgan ağ üzerinden hedef sunucuda kod çalıştırabilir ve sistemin gizlilik, bütünlük ve erişilebilirlik üzerindeki kontrolünü ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Üreticinin yayımladığı talimatlara göre Spring Framework için güvenlik güncellemesini uygulayın ve uygulamanızı güncel sürümle yeniden derleyip dağıtın. Genel öneri
  2. CISA'nın gerekli eylem bilgisi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Hangi uygulamaların JDK 9 veya üzerinde Spring MVC ya da Spring WebFlux kullandığını ve özellikle Tomcat üzerinde WAR olarak dağıtılıp dağıtılmadığını envanterden tespit edin; bu uygulamaları öncelikli güncelleyin. Genel öneri
  4. Güncelleme hemen yapılamıyorsa internete açık etkilenen uygulamaların önüne bir web uygulama güvenlik duvarı (WAF) koyup şüpheli isteklere karşı kurallar etkinleştirin veya uygulamaya erişimi geçici olarak kısıtlayın. Genel öneri

Ek önlemler

  • Web sunucusu ve uygulama günlüklerinde olağan dışı istekleri ve sunucuda beklenmeyen dosya oluşumlarını izleyin; olası bir ele geçirilme durumuna karşı sistemleri inceleyin. Genel öneri
  • Uygulamaları mümkün olan en düşük yetkili kullanıcı hesabıyla çalıştırın ve uygulama sunucularını ağda yalıtın. Genel öneri
  • Üçüncü taraf kütüphane ve çerçeve sürümlerini düzenli takip edin, yazılım bileşen envanteri tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Spring Framework Sürüm belirtilmemiş –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.