CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2018-1273

RCE w Spring Data Commons — podatność property bindera

CVSS 9.8v3.1pub. 2018-04-11upd. 2026-08-26

Spring Data Commons zawiera podatność w mechanizmie wiązania parametrów (property binder), umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Ze względu na krytyczny wynik CVSS 9.8 oraz aktywne wykorzystanie przez atakujących, podatność stanowi poważne zagrożenie dla systemów opartych na Spring Data REST.

▸ Pokaż oryginał (EN)

Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w mechanizmie wiązania parametrów żądania HTTP (property binder). Nieuwierzytelniony atakujący może przesłać specjalnie spreparowane parametry żądania do zasobów HTTP obsługiwanych przez Spring Data REST lub skorzystać z mechanizmu wiązania payload'u opartego na projekcjach Spring Data. Prowadzi to do wykonania dowolnego kodu po stronie serwera.

Skutki

Atakujący może przejąć pełną kontrolę nad podatnym serwerem poprzez zdalne wykonanie dowolnego kodu (RCE), co może skutkować naruszeniem poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Spring Data Commons do wersji 1.13.10 lub 2.0.5 (lub nowszych). Zaleca się również zastosowanie patchy dostępnych u producenta zgodnie z oficjalnym biuletynem bezpieczeństwa Pivotal/VMware pod adresem https://pivotal.io/security/cve-2018-1273.

Kogo dotyczy

Spring Data Commons w wersjach od 1.13 do 1.13.9 oraz od 2.0 do 2.0.4, a także starsze niewspierane wersje; Spring Data REST w wersjach korzystających z podatnych wersji Spring Data Commons.

Uwagi

Podatność jest wpisana na listę CISA KEV jako aktywnie wykorzystywana. Oracle uwzględnił tę podatność w swoim zbiorczym biuletynie bezpieczeństwa CPU z lipca 2022 roku, co wskazuje na obecność podatnych komponentów w produktach Oracle.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Apache Ignite
APP
Apache
1.0.01.0.1 – 2.5.0
Broadcom Spring Data Commons
APP
Broadcom
1.13.0 – 1.13.102.0.0 – 2.0.5≤ 1.12.10
Oracle Financial Services Crime And Compliance Management Studio
APP
Oracle
8.0.8.2.08.0.8.3.0
Pivotal Software Spring Data Rest
APP
Pivotal Software
3.0.0 – 3.0.5
VMware Spring Data Rest
APP
Vmware
2.6.0 – 2.6.10≤ 2.5.10