NCSC waarschuwt voor kritieke kwetsbaarheid in Spring Framework

Het Nationaal Cyber Security Centrum (NCSC), onderdeel van het ministerie van Justitie en Veiligheid, heeft een aparte waarschuwing afgegeven voor een kritieke kwetsbaarheid in het populaire Spring Core Framework. De impact van mogelijk misbruik kan groot voor organisaties zijn, aldus de overheidsinstantie. Het Spring Framework is een veelgebruikt Java-platform voor het ontwikkelen van Java-applicaties. Die kunnen zowel standalone draaien of in webapplicatie-omgevingen als Tomcat.

Een beveiligingslek in de software, met de naam Spring4Shell, laat een ongeauthenticeerde aanvaller willekeurige code op kwetsbare systemen uitvoeren. “Hiermee kan toegang tot gevoelige informatie binnen die applicatie worden verkregen”, zo laat het NCSC weten. Ook kan de kwetsbaarheid mogelijk leiden tot de uitvoer van willekeurige code met verhoogde rechten op het onderliggende systeem.

Volgens het Nationaal Cyber Security Centrum is de kans op misbruik groot en kan dit tot grote schade leiden. “De impact van mogelijk misbruik kan groot zijn, ga daarom na of uw organisatie gebruik maakt van een kwetsbare versie van Spring Core Framework”, aldus het NCSC. Spring heeft inmiddels beveiligingsupdates uitgebracht. Gebruikers worden aangeraden om te updaten naar versies 5.3.18 of 5.2.20.

Verschillende online bronnen melden dat er inmiddels actief misbruik van de kwetsbaarheid wordt gemaakt. Het NCSC zegt de situatie nauwgezet te monitoren. De overheidsinstantie staat in contact met (inter)nationale partners en doelgroepen om nadere informatie over dit incident snel te duiden en te delen.