CVE-2022-22963

IMMEDIATE ACTIONS:

1. Identify all systems running VMware Tanzu Spring Cloud Function versions prior to 3.1.3 or 3.2.x prior to 3.2.2

2. Isolate affected systems from production networks if patching cannot be completed within 24 hours

3. Review access logs for suspicious SpEL expressions in routing parameters (look for patterns: T(java.lang.Runtime), getRuntime(), exec())



PATCHING GUIDANCE:

1. Upgrade to VMware Tanzu Spring Cloud Function 3.1.3 or later

2. For version 3.2.x, upgrade to 3.2.2 or later

3. Apply patches in non-production environments first; test thoroughly before production deployment

4. Verify patch application by checking version numbers post-deployment



COMPENSATING CONTROLS (if immediate patching not possible):

1. Implement Web Application Firewall (WAF) rules to block SpEL expressions in routing parameters

2. Restrict network access to Spring Cloud Function endpoints using network segmentation

3. Disable routing functionality if not actively used

4. Implement strict input validation and sanitization for all routing expressions

5. Monitor for exploitation attempts using SIEM/SOC tools



DETECTION RULES:

1. Monitor HTTP requests containing: 'T(java.lang.Runtime)', 'getRuntime()', 'exec()', 'ProcessBuilder' in URL parameters or request bodies

2. Alert on any SpEL syntax patterns in routing-expression parameters

3. Monitor for unexpected child process spawning from Java/Spring Cloud Function processes

4. Track failed and successful authentication attempts to Spring Cloud Function endpoints

5. Monitor outbound network connections from affected systems to external IPs

الإجراءات الفورية:

1. تحديد جميع الأنظمة التي تعمل بإصدارات VMware Tanzu Spring Cloud Function السابقة للإصدار 3.1.3 أو 3.2.x السابقة للإصدار 3.2.2

2. عزل الأنظمة المتأثرة عن شبكات الإنتاج إذا لم يكن التصحيح ممكناً خلال 24 ساعة

3. مراجعة سجلات الوصول للتعبيرات المريبة في معاملات التوجيه (ابحث عن الأنماط: T(java.lang.Runtime)، getRuntime()، exec())



إرشادات التصحيح:

1. الترقية إلى VMware Tanzu Spring Cloud Function 3.1.3 أو إصدار أحدث

2. للإصدار 3.2.x، قم بالترقية إلى 3.2.2 أو إصدار أحدث

3. تطبيق التصحيحات في بيئات غير الإنتاج أولاً؛ اختبر بدقة قبل نشر الإنتاج

4. تحقق من تطبيق التصحيح بفحص أرقام الإصدارات بعد النشر



الضوابط البديلة (إذا لم يكن التصحيح الفوري ممكناً):

1. تطبيق قواعد جدار حماية تطبيقات الويب (WAF) لحجب تعبيرات SpEL في معاملات التوجيه

2. تقييد الوصول إلى نقاط نهاية Spring Cloud Function باستخدام تقسيم الشبكة

3. تعطيل وظيفة التوجيه إذا لم تكن قيد الاستخدام النشط

4. تطبيق التحقق الصارم من المدخلات والتطهير لجميع تعبيرات التوجيه

5. مراقبة محاولات الاستغلال باستخدام أدوات SIEM/SOC



قواعد الكشف:

1. مراقبة طلبات HTTP التي تحتوي على: 'T(java.lang.Runtime)'، 'getRuntime()'، 'exec()'، 'ProcessBuilder' في معاملات URL أو أجسام الطلبات

2. تنبيه على أي أنماط بناء جملة SpEL في معاملات routing-expression

3. مراقبة توليد عمليات فرعية غير متوقعة من عمليات Java/Spring Cloud Function

4. تتبع محاولات المصادقة الفاشلة والناجحة لنقاط نهاية Spring Cloud Function

5. مراقبة الاتصالات الشبكية الصادرة من الأنظمة المتأثرة إلى عناوين IP خارجية