VMware vá lỗ hổng RCE Spring4Shell trên một loạt sản phẩm

VMware vừa phát hành một số cập nhật bảo mật nhằm vá lỗi thực thi code từ xa cho lỗ hổng nguy hiểm có tên Spring4Shell trong các sản phẩm máy ảo và điện toán đám mây của công ty.

Danh sách các sản phẩm bị ảnh hưởng bởi Spring4Shell được VMware đăng tải trong cảnh báo bảo mật mà công ty vừa đăng tải. Với các sản phẩm chưa có bản vá, VMware cũng cung cấp một giải pháp khắc phục tạm thời.

Tại thời điểm này, người dùng nên tuân thủ theo các hướng dẫn bảo mật bởi Spring4Shell đang bị hacker tích cực khai thác.

Spring4Shell là lỗ hổng thực thi code từ xa (RCE) được theo dõi dưới mã CVE-2022-22965. Lỗ hổng này nằm trong framework Spring Core Java và có thể bị khai thác mà không cần xác thực, theo thang mức độ nguy hiểm lỗ hổng này đạt mức 9,8 trên 10.

Do Spring Framework được triển khai rộng rãi để phát triển ứng dụng Java, các nhà phân tích bảo mật lo ngại về các cuộc tấn công quy mô lớn nhắm vào lỗ hổng Spring4Shell.

Tệ hơn nữa, phương thức khai thác lỗ hổng này (PoC) đã bị chia sẻ trên GitHub trước khi các bản vá được tung ra. Dù ngay lập tức bị gỡ bỏ nhưng phương thức khai thác này đã bị chia sẻ khắp nơi trên internet.

Lỗ hổng nghiêm trọng này ảnh hưởng tới các ứng dụng Spring MVC và Spring WebFlux chạy trên JDK 9+. Để khai thác yêu cầu ứng dụng chạy trên Tomcat dưới dạng triển khai WAR mặc dù các giới hạn chính xác vẫn đang được điều tra.

Dưới đây là các sản phẩm của VMware bị ảnh hưởng:

• VMware Tanzu Application Service for VMs - phiên bản 2.10 tới 2.13.
• VMware Tanzu Operation Manager - phiên bản 2.8 tới 2.9.
• VMware Tanzu Kubernetes Grid Integrated Edition (TKGI) - phiên bản 1.11 đến 1.13.

Nếu đang dùng các sản phẩm với các phiên bản kể trên bạn nên cập nhật ngay để đảm bảo các lỗ hổng đều được khắc phục.