VMware corrige la vulnérabilité Spring4Shell dans plusieurs produits
VMware a publié un bulletin de sécurité pour indiquer comment se protéger de la faille de sécurité critique nommée Spring4Shell, découverte au sein du framework Java "Spring".
On pouvait s'attendre à ce genre de nouvelle étant donné que Spring appartient à VMware, et cela se confirme : Spring est bien utilisé par certains produits VMware. Certaines versions bénéficient d'une mise à jour qui permet de se protéger, tandis que pour d'autres où il n'existe pas de correctif officiel, VMware a tout de même mis en ligne une procédure à appliquer pour se protéger.
Pour rappel, Spring est un framework open source populaire auprès de la communauté Java, dont l'objectif est de faciliter le développement d'applications en Java. Il est utilisé dans de nombreux domaines, notamment pour des applications Web et des API.
Désormais identifiée avec la référence CVE-2022-22965, la vulnérabilité Spring4Shell hérite d'un score de sévérité de 9,8 sur 10, et elle affecte les produits VMware suivants (certaines versions) :
- VMware Tanzu Application Service for VMs : versions 2.10 à 2.13
- VMware Tanzu Operations Manager : versions 2.8 à 2.9
- VMware Tanzu Kubernetes Grid Integrated Edition (TKGI) : versions 1.11 à 1.13
Pour le moment, le correctif pour VMware Tanzu Kubernetes Grid Integrated Edition se fait attendre, comme vous pourrez le constater en regardant le tableau de suivi sur le site de VMware. En attendant, les utilisateurs de cette solution peuvent appliquer manuellement la procédure proposée par VMware sur cette page.
La vulnérabilité Spring4Shell permet une exécution de code à distance sur une machine vulnérable, et étant donné qu'elle est activement exploitée, il est recommandé d'appliquer les mesures de protection proposées par VMware si vous utilisez l'un des produits affectés, ou de mettre à jour le produit dans une version plus récente. Au niveau de Spring en tant que tel, les mises à jour corrigées sont les suivantes :
- Spring Framework 5.2.20
- Spring Framework 5.3.18
- Spring Boot 2.5.12
- Spring Boot 2.6.6
