Aller au contenu
Retour à la recherche

CVE-2022-22965

CRITICAL
9.8 CISA KEVNVD

Résumé

généré automatiquement à partir des données NVD

Une application Spring MVC ou Spring WebFlux exécutée sur JDK 9+ peut être vulnérable à une exécution de code à distance (RCE) via le data binding (CWE-94). L'exploit décrit exige un déploiement WAR sur Tomcat, alors qu'un jar exécutable Spring Boot, par défaut, n'est pas concerné, d'autres vecteurs restant possibles. La faille est exploitée activement (CISA KEV, ajoutée le 2022-04-04) et affiche un score CVSS de 9.8, critique.

Description NVD (anglais)

A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.

Partager :

⚠️ Activement exploitée — CISA KEV

Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2022-04-04. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.

Échéance de remédiation (agences fédérales US): 2022-04-25

EPSS · FIRST.org

99,6 %de probabilité d'exploitation dans les 30 prochains jours

Supérieure à 99 % des CVE notées

L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.

Articles d'analyse sur cveo.tech

Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.

Score CVSS v3.1

9.8
/ 10.0
CRITICAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Informations

Publié
1 avr. 2022
Mis à jour
17 juin 2026
Statut
Analyzed
Source
security@vmware.com

Produits affectés

vmware spring framework
Versions : 5.2.20, 5.3.18
cisco cx cloud agent
Versions : 2.1.0
oracle communications cloud native core automated test suite
Versions : 1.9.0, 22.1.0
oracle communications cloud native core console
Versions : 1.9.0, 22.1.0
oracle communications cloud native core network exposure function
Versions : 22.1.0
oracle communications cloud native core network function cloud native environment
Versions : 1.10.0, 22.1.0
oracle communications cloud native core network repository function
Versions : 1.15.0, 22.1.0
oracle communications cloud native core network slice selection function
Versions : 1.8.0, 1.15.0, 22.1.0

Faiblesses (CWE)

CWE-94CWE-94

Références (18)

CVEs similaires

Autres vulnérabilités de type CWE-94

…

Surveillez vos produits

Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.

Activer la surveillance