解析Spring?漏洞及其修復(fù)方案
Spring社區(qū)發(fā)布了一篇名為《Spring Framework RCE, Early Announcement》的文章，官宣了最近網(wǎng)傳的Spring漏洞。攻擊者利用該漏洞，可在未授權(quán)的情況下遠(yuǎn)程執(zhí)行命令。目前，漏洞利用細(xì)節(jié)已大范圍公開(kāi)，好在Spring官方已發(fā)布補(bǔ)丁修復(fù)該漏洞。
漏洞分析
Spring框架（Framework）是一個(gè)開(kāi)源的輕量級(jí)J2EE應(yīng)用程序開(kāi)發(fā)框架，提供了IOC、AOP及MVC等功能，解決了程序人員在開(kāi)發(fā)中遇到的常見(jiàn)問(wèn)題，提高了應(yīng)用程序開(kāi)發(fā)便捷度和軟件系統(tǒng)構(gòu)建效率。
2022年3月30日，CNVD平臺(tái)接收到螞蟻科技集團(tuán)股份有限公司報(bào)送的Spring框架遠(yuǎn)程命令執(zhí)行漏洞。由于Spring框架存在處理流程缺陷，攻擊者可在遠(yuǎn)程條件下，實(shí)現(xiàn)對(duì)目標(biāo)主機(jī)的后門(mén)文件寫(xiě)入和配置修改，繼而通過(guò)后門(mén)文件訪問(wèn)獲得目標(biāo)主機(jī)權(quán)限。使用Spring框架或衍生框架構(gòu)建網(wǎng)站等應(yīng)用，且同時(shí)使用JDK版本在9及以上版本的，易受此漏洞攻擊影響。這次確定的Spring核心框架中的RCE漏洞，CVE號(hào)為CVE-2022-22965。
影響范圍
該漏洞的利用需要滿足下面的條件：
- JDK 9 +
- 使用Apache Tomcat部署
- 使用WAR方式打包
- 依賴spring-webmvc或spring-webflux
雖然，可能?chē)?guó)內(nèi)大部分用戶還在用JDK 8、或者采用內(nèi)置Tomcat的方式運(yùn)行，但由于該漏洞的特性比較普遍，不排除其他利用方式的存在。所以，DD還是建議在有條件的情況下，盡快升到最新版本來(lái)避免可能存在的風(fēng)險(xiǎn)發(fā)生。
解決方案
目前，Spring官方已發(fā)布新版本完成漏洞修復(fù)，CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商和信息系統(tǒng)運(yùn)營(yíng)者盡快進(jìn)行自查，并及時(shí)升級(jí)至最新版本，升級(jí)情況如下：
- Spring 5.3.x用戶升級(jí)到5.3.18+
- Spring 5.2.x用戶升級(jí)到5.2.20+
- Spring Boot 2.6.x用戶升級(jí)到2.6.6+
- Spring Boot 2.5.x用戶升級(jí)到2.5.12+
參考資料：
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://github.com/spring-projects/spring-framework/compare/v5.3.17…v5.3.18
到此這篇關(guān)于解析Spring 漏洞及其修復(fù)方案的文章就介紹到這了,更多相關(guān)Spring 漏洞修復(fù)內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
vscode快速引入第三方j(luò)ar包發(fā)QQ郵件
這篇文章主要介紹了vscode快速引入第三方j(luò)ar包發(fā)QQ郵件，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-06-06
這篇文章主要介紹了java Matcher匹配頭尾截取替換字符串的案例，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2020-12-12
idea快捷鍵生成getter和setter,有構(gòu)造參數(shù),無(wú)構(gòu)造參數(shù),重寫(xiě)toString方式
這篇文章主要介紹了java之idea快捷鍵生成getter和setter,有構(gòu)造參數(shù),無(wú)構(gòu)造參數(shù),重寫(xiě)toString方式,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-11-11
java客戶端Etcd官方倉(cāng)庫(kù)jetcd中KeepAlive接口實(shí)現(xiàn)
這篇文章主要為大家介紹了java客戶端Etcd官方倉(cāng)庫(kù)jetcd中KeepAlive接口實(shí)現(xiàn)，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，多多加薪2022-02-02
@Transactional遇到try catch失效的問(wèn)題
這篇文章主要介紹了@Transactional遇到try catch失效的問(wèn)題及解決方案，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2022-01-01
獲取系統(tǒng)參數(shù)System.getProperties()與配置文件參數(shù)@Value(“${key}“)
這篇文章主要介紹了獲取系統(tǒng)參數(shù)System.getProperties()與配置文件參數(shù)@Value("${key}"),本文給大家介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2023-05-05
深入理解SpringMVC的參數(shù)綁定與數(shù)據(jù)響應(yīng)機(jī)制
本文將深入探討SpringMVC的參數(shù)綁定方式，包括基本類(lèi)型、對(duì)象、集合等類(lèi)型的綁定方式，以及如何處理參數(shù)校驗(yàn)和異常。同時(shí)，本文還將介紹SpringMVC的數(shù)據(jù)響應(yīng)機(jī)制，包括如何返回JSON、XML等格式的數(shù)據(jù)，以及如何處理文件上傳和下載。2023-06-06
這篇文章主要介紹了JavaWeb中的Cookie和Session解讀,Cookie是servlet發(fā)送到Web瀏覽器的少量信息,該信息由瀏覽器保存,然后發(fā)送回服務(wù)器,一般情況下,Cookie是以鍵值對(duì)進(jìn)行表示的,Cookie的值可以唯一地標(biāo)識(shí)客戶端,因此Cookie常用于會(huì)話管理,需要的朋友可以參考下2023-10-10
spring security與corsFilter沖突的解決方案
這篇文章主要介紹了spring security與corsFilter沖突的解決方案，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2021-11-11
SpringMVC配置javaConfig及StringHttpMessageConverter示例
這篇文章主要介紹了SpringMVC配置javaConfig及StringHttpMessageConverter實(shí)現(xiàn)示例，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪2023-07-07