轉載「Spring4Shell 0-day 嚴重漏洞已遭駭侵者濫用，建議立即進行更新」訊息

 【軟硬體漏洞資訊】

🕳🕳🕳Spring4Shell 0-day 嚴重漏洞已遭駭侵者濫用，建議立即進行更新🔧🔧🔧

日前遭發現的嚴重 0-day 漏洞 Spring4Shell（CVE-2022-22965），雖然 VMware 原廠已緊急推出更新修補程式，但包括微軟在內的多家資安廠商，仍發現該漏洞遭駭侵者大規模用於攻擊。

這個嚴重 0-day 漏洞，是存於 VMware Spring Core Java framework 之中，該程式框架可讓開發者輕鬆且快速開發各種企業級 Java 應用程式，使用範圍非常廣泛，包括 Apache Tomcat 等伺服器或多種個別軟體套件，都使用了 Spring Core Java framework。

漏洞的發生原因，是在傳送參數時未能進行安全的反序列化（Deserialization），該錯誤可讓駭侵者遠端執行任意程式碼，且其 CVSS 危險程度評分高達 9.8 分（滿分為 10 分），危險程度評級為最高等級的「嚴重」（critical）等級。

解決方案：升級 Spring Framework 至 5.3.18 和 5.2.2 版本，以及 Spring Boot 至 2.5.12 版本，或更高版本。

 

詳細資訊請參考：https://www.twcert.org.tw/tw/cp-104-5978-ecaf6-1.html

資料來源：https://www.twcert.org.tw/tw/lp-104-1.html