IBM Sterling B2B Integrator是一套集成了重要B2B流程、事务和关系的软件。该软件支持复杂的B2B流程与不同合作伙伴社区的安全集成。
4月11日，IBM发布安全更新，修复了在IBM enterprise的B2B平台软件中发现的执行任意代码的漏洞。以下是该漏洞的详细信息:
漏洞详细信息
资料来源:https://www.ibm.com/support/pages/node/6570975.
CVE-2022-22965 CVSS得分:9.8严重程度:重要
Spring Framework可能允许远程攻击者在系统上执行任意代码，这是由于未正确处理与数据绑定一起使用的PropertyDescriptor对象造成的。通过向Spring Java应用程序发送巧尽心思构建的数据，攻击者可以利用此漏洞在系统上执行任意代码。注意:该漏洞需要Spring Framework在Tomcat上作为WAR部署运行，使用JDK 9或更高版本，并使用spring-webmvc或spring-webflux。注意:该漏洞也称为Spring4Shell或SpringShell。IBM Sterling B2B Integrator受到Spring框架中远程代码执行的影响。
受影响的产品和版本
IBM sterling B2B Integrator 6 . 0 . 0 . 0-6 . 0 . 3 . 5，6.1.0.0-6.1.0.4，6.1.1.1版本。
解决办法
IBM Sterling B2B Integrator受到影响，但在Spring Framework (CVE-2022-22965)中没有被归类为易受远程代码执行攻击，因为它不满足以下所有标准:1 .JDK 9或更高，2。Apache Tomcat作为Servlet容器，3。打包成WAR(与Spring Boot的可执行jar相比)，4 .Spring-webmvc或spring-webflux依赖关系，5。Spring Framework版本5.3.0到5.3.17，5.2.0到5.2.19，以及旧版本。出于谨慎，IBM官方将在未来版本中升级Spring框架。
更多漏洞信息和升级见官网:
https://www.ibm.com/blogs/psirt/
