Spring4Shell kwetsbaarheid geen impact op ZorgTTP dienstverlening

apr 1, 2022 | Nieuws

Wat is er aan de hand?

Het Nationaal Cyber Security Center (NCSC) heeft een zogenaamd HIGH/HIGH beveiligingsadvies uitgebracht naar aanleiding van een kwetsbaarheid in het Spring Core Framework. ZorgTTP heeft onmiddellijk geïnventariseerd welke maatregelen te nemen. Omdat niet aan de criteria wordt voldaan waaronder de kwetsbaarheid uitgebuit kan bestaat er geen acuut risico op uitbuiting.

Welke acties heeft ZorgTTP ondernomen?

De volgende acties zijn, in lijn met het advies van het NCSC, sinds bekendmaking van de kwetsbaarheid uitgevoerd.

1. Inventarisatie gebruik Spring Core framework (31 maart 2022)
2. Analyse of wordt voldaan aan de criteria om de kwetsbaarheid uit te buiten (31 maart 2022). Om van kwetsbare blootstelling te spreken moet voldaan worden aan drie voorwaarden, te weten:
   • Java 9+
   • Tomcat applicatieserver
   • In gebruik als .war bestand
3. Update CMT met Spring 5.3.18 (31 maart 2022)

Uitkomst van de inventarisatie en daarop volgende analyse is dat:

• Encryptiedienst TRES niet wordt geraakt door dit incident;
• De pseudonimisatiedienst in de componenten PVM, CMT en DRM wel gebruik maakt van een kwetsbare versie van het Spring Core Framework.
• De Centrale Module TTP (CMT) van het ZorgTTP pseudonimisatieplatform niet voldoet aan de criteria om de kwetsbaarheid uit te buiten.
• De PVM en DRM clients voor verzenden en ontvangen van te pseudonimiseren gegevens niet voldoen aan de criteria om de kwetsbaarheid uit te buiten.

 Waarom is CMT niet kwetsbaar?

• Er zijn geen internet-facing componenten die direct benaderbaar zijn of die gebruik maken van de DataBinder methode.

Waarom is de PVM niet kwetsbaar?

• De software opereert niet als een server die wacht op binnenkomende verzoeken en voldoet daarmee niet aan de eerder genoemde criteria. De PVM is dus geen server maar een client, die alleen met ZorgTTPcontact heeft door dat contact alleen tijdens gebruik zelf actief te leggen.

Waarom is de DRM niet kwetsbaar?

• De DRM is net als de PVM geen server maar een client en om dezelfde reden niet kwetsbaar.

 Vervolgacties

De volgende acties worden momenteel uitgevoerd

• Er is sinds 31 maart 2022 een nieuwe versie van CMT beschikbaar met Spring versie 5.3.18. Deze zal via het reguliere releaseproces worden opgebracht. Als tijdelijke maatregel in afwachting van de update is Apache Tomcat op 12 april 2022 bijgewerkt naar een versie die een patch bevat voor deze kwetsbaarheid.
• Update naar Spring Core Framework versie 5.3.18 (of hoger) voor alle nieuw uit te geven software.
• Op verzoek kunnen versneld nieuwe versies van de PVM en DRM clients versneld beschikbaar worden gesteld.

Indien u vragen heeft naar aanleiding van bovenstaande dan staan wij u graag te woord. Neem contact met ons op via onze servicedesk.