Vulnérabilité dans Spring Cloud Function : Satnam Narang, staff research engineer de Tenable commente cette nouvelle faille baptisée Spring4Shell.
Avertissement concernant une vulnérabilité dans Spring Cloud Function

Vulnérabilité dans Spring Cloud Function
Le 29 mars, VMware a publié un avertissement concernant une vulnérabilité dans Spring Cloud Function (CVE-2022-22963), un framework permettant d’implémenter une logique métier via des fonctions. La vulnérabilité a actuellement un classement CVSSv3 de 5,4. Mais comme la vulnérabilité est considérée comme une faille d’exécution de code à distance qui peut être exploitée par un attaquant non authentifié, il semble que le score CVSSv3 ne reflète pas l’impact réel de cette faille.
Deux failles distinctes
Certains rapports confondent CVE-2022-22963 avec une autre faille d’exécution de code à distance dans Spring Core, appelée Spring4Shell ou SpringShell. Aucun CVE n’a été attribué à Spring4Shell, ce qui ajoute à la confusion.
Bien que les deux vulnérabilités soient des failles critiques d’exécution de code à distance, il s’agit de deux failles distinctes affectant des solutions différentes :
– CVE-2022-22963 existe dans Spring Cloud Function, un framework sans serveur qui fait partie de Spring Cloud, alors que
– Spring4Shell fait partie du Spring Framework, un modèle de programmation et de configuration pour les applications d’entreprise basées sur Java.
Téléchargez cette ressource

État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
L’impact
Malgré sa convention de naming qui présente une similitude avec Log4Shell, Spring4Shell n’est pas apparenté et ne semble pas être aussi importante que Log4Shell. Spring4Shell a quelques exigences de configuration par défaut, bien que les applications qui les mettent en œuvre ne soient pas clairement définies.
Tout comme pour Log4Shell, il faudra un certain temps avant de connaître la portée et l’impact réel de Spring4Shell, mais nous pouvons affirmer qu’il ne sera pas aussi important que Log4Shell.
Pour CVE-2022-22963, des correctifs existent et sont disponibles pour des versions spécifiques de Spring Cloud Function. À l’heure actuelle, il n’existe aucun correctif pour Spring4Shell, ce qui en fait un Zero Day, bien que nous prévoyions que de plus amples détails seront révélés sous peu.
Pour plus d’informations, ce blogpost comporte une FAQ concernant Spring4Shell.
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- Fraude & IA : Dr Jekyll vs. Mr Hyde, qui l’emporte ?
- Gestion du cycle de vie des outils de cyberdéfense : un levier de performance pour les entreprises
- Top 6 du Cyber Benchmark Wavestone 2025
- La voix met le clavier au placard : une mutation incontournable pour les entreprises
- Analyse Patch Tuesday Juin 2025
