PT-2022-6999 · Unknown+1 · Spring Framework+1

CVE-2022-22971 · Publicado 2022-05-12 · Atualizado 2022-11-28

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do Spring Framework anteriores à 5.3.20

Versões do Spring Framework anteriores à 5.2.22

Versões antigas e sem suporte do Spring Framework

Descrição

A aplicação com um endpoint STOMP sobre WebSocket está vulnerável a um ataque de negação de serviço por parte de um usuário autenticado. Esta vulnerabilidade está relacionada à alocação ilimitada de recursos. Um invasor pode explorar isso para causar uma negação de serviço.

Recomendações

Para versões do Spring Framework anteriores à 5.3.20, atualize para a versão 5.3.20 ou posterior.

Para versões do Spring Framework anteriores à 5.2.22, atualize para a versão 5.2.22 ou posterior.

Para versões antigas e sem suporte do Spring Framework, considere atualizar para uma versão com suporte para mitigar o risco de exploração.

Como solução alternativa temporária, considere restringir o acesso ao endpoint STOMP sobre WebSocket até que um patch esteja disponível.

Exploit

Correção

DoS

Improper Resource Release

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-404

CWE-770

Identificadores relacionados

BDU:2023-06306

CVE-2022-22971

GHSA-RQPH-VQWM-22VC

Produtos afetados

Debian

Spring Framework

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/22xxx/CVE-2022-22971.json · Exploit
• https://github.com/spring-projects/spring-framework · Nota
• https://github.com/spring-projects/spring-framework/commit/dc2947c52df18d5e99cad03383f7d6ba13d031fd · Nota
• https://github.com/spring-projects/spring-framework/commit/159a99bbafdd6c01871228113d7042c3f83f360f · Nota
• https://security.netapp.com/advisory/ntap-20220616-0003 · Nota
• https://osv.dev/vulnerability/CVE-2022-22971 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-22971 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-22971 · Aviso do Fabricante
• https://tanzu.vmware.com/security/cve-2022-22971 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2022-22971 · Nota
• https://osv.dev/vulnerability/GHSA-rqph-vqwm-22vc · Aviso do Fabricante
• https://t.me/cibsecurity/42556 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2023-06306 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-22971 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-22971 · Aviso do Fabricante