Avertissement concernant une vulnérabilité dans Spring Cloud Function

Vulnérabilité dans Spring Cloud Function

Le 29 mars, VMware a publié un avertissement concernant une vulnérabilité dans Spring Cloud Function (CVE-2022-22963), un framework permettant d’implémenter une logique métier via des fonctions. La vulnérabilité a actuellement un classement CVSSv3 de 5,4. Mais comme la vulnérabilité est considérée comme une faille d’exécution de code à distance qui peut être exploitée par un attaquant non authentifié, il semble que le score CVSSv3 ne reflète pas l’impact réel de cette faille.

Deux failles distinctes

Certains rapports confondent CVE-2022-22963 avec une autre faille d’exécution de code à distance dans Spring Core, appelée Spring4Shell ou SpringShell. Aucun CVE n’a été attribué à Spring4Shell, ce qui ajoute à la confusion.

Bien que les deux vulnérabilités soient des failles critiques d’exécution de code à distance, il s’agit de deux failles distinctes affectant des solutions différentes :

– CVE-2022-22963 existe dans Spring Cloud Function, un framework sans serveur qui fait partie de Spring Cloud, alors que

– Spring4Shell fait partie du Spring Framework, un modèle de programmation et de configuration pour les applications d’entreprise basées sur Java.