快捷導(dǎo)航

Spring Framework遠(yuǎn)程代碼執(zhí)行漏洞分析(最新漏洞)

更新時間：2022年04月01日 09:09:23 作者：持行非就

Spring Framework 是一個開源應(yīng)用框架，旨在降低應(yīng)用程序開發(fā)的復(fù)雜度，它具有分層體系結(jié)構(gòu)，允許用戶選擇組件，同時還為 J2EE 應(yīng)用程序開發(fā)提供了一個有凝聚力的框架，對Spring遠(yuǎn)程代碼執(zhí)行漏洞相關(guān)知識感興趣的朋友一起看看吧

1.漏洞描述

Spring Framework 是一個開源應(yīng)用框架，旨在降低應(yīng)用程序開發(fā)的復(fù)雜度。它是輕量級、松散耦合的。它具有分層體系結(jié)構(gòu)，允許用戶選擇組件，同時還為 J2EE 應(yīng)用程序開發(fā)提供了一個有凝聚力的框架。但是在JDK9及以上版本環(huán)境中，一些新的版本特性，可以使攻擊者繞過一些安全特性，借助某些中間件構(gòu)造數(shù)據(jù)包修改敏感文件，達到遠(yuǎn)程代碼執(zhí)行目的。

2.漏洞影響排查方法

2.1.JDK 版本號排查

在業(yè)務(wù)系統(tǒng)的運行服務(wù)器上，執(zhí)行“java -version"命令查看運行的 JDK 版本。

如果版本號小于等于 8，則不受此漏洞影響。

（不受影響的版本）??

2.2.Spring 框架使用情況排査

如果業(yè)務(wù)系統(tǒng)項目以 war(jar) 包形式部署，按照如下的步驟進行判斷：

解壓 war(jar) 包：將war(jar)文件的后綴修改成 .zip ，解壓 zip 文件。
在解壓縮目錄下搜索是否存在 spring-beans-*.jar 格式的文件（例如spring-beans-5.3.16.jar），如存在則說明業(yè)務(wù)系統(tǒng)使用了Spring框架進行開發(fā)。
如果spring-beans-*.jar文件不存在，則在解壓縮目錄下搜索CachedlntrospectionResults.class文件是否存在，如存在則說明業(yè)務(wù)系統(tǒng)使用了Spring框架進行開發(fā)。

3.解決方案

3.1.版本升級

目前，Spring官方已發(fā)布漏洞修復(fù)版本，請用戶及時更新至最新版本：

https://github.com/spring-projects/spring-framework/tags

安全版本：

Spring Framework == 5.3.18

Spring Framework == 5.2.20

3.2.緩解措施

無法升級版本的用戶，建議采用以下兩個臨時方案進行防護。

UWAF 防護

在UWAF配置中，根據(jù)實際業(yè)務(wù)部署的情況，配置正則規(guī)則，對 "class.module.*" 字符串添加過濾規(guī)則，在部署過濾規(guī)則后，對業(yè)務(wù)運行情況進行測試，避免產(chǎn)生額外影響。

注意：其中流量特征 "class.module.*" 對大小寫不敏感。

臨時修復(fù)措施

需同時按以下兩個步驟進行漏洞的臨時修復(fù)：

在應(yīng)用中全局搜索@InitBinder 注解，看方法體內(nèi)是否調(diào)用dataBinder.setDisallowedFields方法。如果發(fā)現(xiàn)此代碼片段的引入，則在原來的黑名單中添加 { " class.module.*"}。注意：如果此代碼片段使用較多，需要每個地方都追加。
在應(yīng)用系統(tǒng)的項目包下新建以下全局類，并保證這個類被Spring加載到（推薦在 Controller所在的包中添加）。完成類添加后，需對項目進行重新編譯打包和功能驗證測試，并重新發(fā)布項目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice@Order(10000)
public class GlobalControllerAdvice{
   @InitBinder
   public void setAllowedFields(webdataBinder dataBinder){
   String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
   dataBinder.setDisallowedFields(abd);
   }
}

到此這篇關(guān)于Spring Framework遠(yuǎn)程代碼執(zhí)行漏洞的文章就介紹到這了,更多相關(guān)Spring遠(yuǎn)程代碼執(zhí)行漏洞內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: