CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.4	$0-$5k	0.24

Es wurde eine Schwachstelle in VMware Spring Data MongoDB bis 3.3.4/3.4.0 (Database Software) gefunden. Sie wurde als kritisch eingestuft. Dabei betrifft es ein unbekannter Prozess der Komponente SpEL Expression Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-74 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

A Spring Data MongoDB application is vulnerable to SpEL Injection when using @Query or @Aggregation-annotated query methods with SpEL expressions that contain query parameter placeholders for value binding if the input is not sanitized.

Die Schwachstelle wurde am 23.06.2022 publik gemacht. Das Advisory kann von tanzu.vmware.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 10.01.2022 unter CVE-2022-22980 geführt. Sie gilt als schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 23.06.2022).

Ein Upgrade auf die Version 3.3.5 oder 3.4.1 vermag dieses Problem zu beheben.

Produktinfoanpassen

Typ

• Database Software

Hersteller

• VMware

Name

• Spring Data MongoDB

CPE 2.3infoanpassen

• 🔒
• 🔒
• 🔒

CPE 2.2infoanpassen

• 🔒
• 🔒
• 🔒

CVSSv3infoanpassen

VulDB Meta Base Score: 5.6
VulDB Meta Temp Score: 5.4

VulDB Base Score: 5.6
VulDB Temp Score: 5.4
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2infoanpassen

AV	AC	Au	C	I	A
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoanpassen

Klasse: Erweiterte Rechte
CWE: CWE-74
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfoanpassen

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Spring Data MongoDB 3.3.5/3.4.1

Timelineinfoanpassen

10.01.2022 CVE zugewiesen
23.06.2022 +163 Tage Advisory veröffentlicht
23.06.2022 +0 Tage VulDB Eintrag erstellt
23.06.2022 +0 Tage VulDB letzte Aktualisierung

Quelleninfoanpassen

Hersteller: vmware.com

Advisory: tanzu.vmware.com
Status: Bestätigt

CVE: CVE-2022-22980 (🔒)
scip Labs: https://www.scip.ch/?labs.20060413

Eintraginfoanpassen

Erstellt: 23.06.2022 22:13
Anpassungen: (41) software_vendor software_name software_version software_component software_type vulnerability_cwe vulnerability_risk vulnerability_cvss2_vuldb_basescore vulnerability_cvss2_vuldb_tempscore vulnerability_cvss2_vuldb_av vulnerability_cvss2_vuldb_ac vulnerability_cvss2_vuldb_au vulnerability_cvss2_vuldb_ci vulnerability_cvss2_vuldb_ii vulnerability_cvss2_vuldb_ai vulnerability_cvss2_vuldb_e vulnerability_cvss2_vuldb_rl vulnerability_cvss2_vuldb_rc vulnerability_cvss3_meta_basescore vulnerability_cvss3_meta_tempscore vulnerability_cvss3_vuldb_basescore vulnerability_cvss3_vuldb_tempscore vulnerability_cvss3_vuldb_av vulnerability_cvss3_vuldb_ac vulnerability_cvss3_vuldb_pr vulnerability_cvss3_vuldb_ui vulnerability_cvss3_vuldb_s vulnerability_cvss3_vuldb_c vulnerability_cvss3_vuldb_i vulnerability_cvss3_vuldb_a vulnerability_cvss3_vuldb_e vulnerability_cvss3_vuldb_rl vulnerability_cvss3_vuldb_rc advisory_date advisory_url exploit_price_0day countermeasure_name countermeasure_upgrade_version source_cve source_cve_assigned source_cve_nvd_summary
Komplett: 🔍

Kommentare

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!