Spring4Shell, Java dünyasının en yaygın uygulama çatısı olan Spring Framework’ün nesne veri bağlama (data binding) mekanizmasını hedef alan ve CVE-2022-22965 koduyla kayıtlı bir uzaktan kod çalıştırma zafiyetidir. Mart 2022’de kamuoyuna açıklandığında, adı Log4Shell’e benzetilerek büyük bir panik yaratmış, ancak istismar koşullarının daha dar olduğu kısa sürede anlaşılmıştır.

Spring4Shell, JDK 9 ve üzeri sürümlerde çalışan belirli Spring MVC uygulamalarında, veri bağlama yoluyla sunucu üzerinde saldırganın komutlarını çalıştırmasına imkân veren bir kusurdur.

Zafiyetin Kökeni

Spring, gelen HTTP isteklerindeki parametreleri otomatik olarak Java nesnelerinin alanlarına eşler. Bu mekanizma, saldırganın nesne grafiği üzerinde gezinerek normalde erişemeyeceği alanlara ulaşmasına yol açtı. JDK 9 ile getirilen bir değişiklik, daha önce kapalı olan bir yolu yeniden açmış; saldırganlar bu yolu izleyerek uygulama sunucusunun sınıf yükleyicisine (ClassLoader) ait özelliklere erişebilmiştir. Bu erişim, disk üzerinde saldırganın kontrol ettiği bir dosya oluşturmayı mümkün kıldı.

Saldırı Nasıl Gerçekleşir?

Tipik istismar senaryosunda saldırgan, Tomcat üzerinde çalışan bir Spring uygulamasına özel hazırlanmış parametreler gönderir. Bu parametreler, Tomcat’in erişim günlüğü yapılandırmasını değiştirerek belirli bir dizine JSP tabanlı bir web kabuğu yazdırır. Ardından saldırgan bu kabuğa bir HTTP isteğiyle ulaşır ve sunucuda istediği komutu çalıştırır. Saldırının işe yaraması için uygulamanın WAR paketi olarak Tomcat’e dağıtılmış olması ve belirli sürüm koşullarının sağlanması gerekir; Spring Boot’un gömülü sunucuyla çalışan yürütülebilir JAR paketleri çoğu durumda etkilenmemiştir.

Tespit ve Önleme

En kesin çözüm Spring Framework’ü yamalı sürümlere (5.3.18 ve 5.2.20 ve üzeri) yükseltmektir; bu nedenle düzenli bir yama yönetimi süreci ilk savunma hattıdır. Yükseltmenin hemen mümkün olmadığı durumlarda, tehlikeli alanları engellemek için bir denetleyici tavsiyesi (ControllerAdvice) ile classLoader gibi kritik alanların bağlanması yasaklanabilir. Zafiyetin bir üçüncü taraf kütüphaneden geldiği düşünüldüğünde, bağımlılıkları görünür kılan bir yazılım bileşim analizi aracı, etkilenen sürümleri envanterinizde bulmanızı sağlar.

Spring4Shell, geniş bir kullanıcı tabanına sahip bir çatının küçük bir davranış değişikliğiyle nasıl saldırı yüzeyi açabileceğini ortaya koydu. Aynı zamanda bir tedarik zinciri saldırısı boyutu taşır: çünkü uygulama geliştiricileri kendi yazdıkları koda değil, güvendikleri bir bağımlılığa maruz kalmıştır.

Kurumsal Etki

İnternete açık, WAR olarak dağıtılmış ve eski Spring sürümü kullanan uygulamalar için Spring4Shell, ilk erişim aracı olarak gerçek bir tehdittir. Bir web kabuğunun sunucuya yerleşmesi çoğu zaman ağın derinliklerine yayılmanın başlangıcıdır. Uygulamalarınızın güncelliğini doğrulamak için düzenli bir web uygulama sızma testi yürütmek, bir sömürünün belirtilerini görürseniz de hızlı ve kontrollü hareket etmek için profesyonel bir olay inceleme ve olay müdahalesi desteğine sahip olmak, olası hasarı sınırlamanın en pratik yoludur.