Spring4Shell: CVE-2022-22965 in Spring Framework
Codeausführung aus der Ferne über Data Binding in Spring MVC und Spring WebFlux ab JDK 9.
In der NVD veröffentlicht am 01.04.2022
CVE-2022-22965
Seit dem 04.04.2022 im CISA-Katalog aktiv ausgenutzter Lücken
Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,638 %, Perzentil 99,950
Was ist Spring4Shell?
Spring4Shell ist eine Lücke in Spring MVC und Spring WebFlux, die ab JDK 9 Codeausführung aus der Ferne über Data Binding erlaubt. Der bekannte Exploit setzt voraus, dass die Anwendung als WAR auf Tomcat läuft. Eine Spring-Boot-Anwendung, die wie üblich als ausführbares Jar startet, ist für diesen Exploit nicht anfällig, die Lücke ist aber allgemeiner und es kann andere Wege geben, sie auszunutzen.
Die NVD bewertet sie mit CVSS 9.8, und CISA führt sie seit dem 4. April 2022 als aktiv ausgenutzt. In Debian 12 und 13 ist das Paket libspring-java weiterhin als anfällig markiert; Debian stuft das als unwichtig ein, weil es das Paket nur zum Bauen von Anwendungen unterstützt.
Betroffene und behobene Versionen
Spring Framework 5.3
Betroffen: 5.3.0 - 5.3.17
Behoben in 5.3.18
Spring Framework
Betroffen: < 5.2.20
Behoben in 5.2.20
Stand in Debian und Ubuntu
Debian 12: libspring-java
Debian 13: libspring-java
Die OSV-Datenbank führt zu dieser Lücke keine Ubuntu-Pakete.
Was tun?
Aktualisiere Spring Framework auf 5.3.18 oder 5.2.20 oder neuer. Anwendungen ziehen Spring meist über ihren Build herein, prüf deshalb die Version in deinen Abhängigkeiten.
Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.
Du hast schon ein Konto? Anmelden und Spring Framework eintragen
Quellen
Angaben am 02.11.2026 gegen NVD, CISA KEV, FIRST EPSS, den Debian Security Tracker und OSV geprüft.
Weitere bekannte Lücken
- PHP2Shell (CVE-2026-109618, CVE-2026-109619)
- Log4Shell (CVE-2021-44228)
- regreSSHion (CVE-2024-6387)
- XZ Backdoor (CVE-2024-3094)
- Heartbleed (CVE-2014-0160)
- Shellshock (CVE-2014-6271)