解析Spring 漏洞及其修复方案
Spring社区发布了一篇名为《Spring Framework RCE, Early Announcement》的文章，官宣了最近网传的Spring漏洞。攻击者利用该漏洞，可在未授权的情况下远程执行命令。目前，漏洞利用细节已大范围公开，好在Spring官方已发布补丁修复该漏洞。
漏洞分析
Spring框架（Framework）是一个开源的轻量级J2EE应用程序开发框架，提供了IOC、AOP及MVC等功能，解决了程序人员在开发中遇到的常见问题，提高了应用程序开发便捷度和软件系统构建效率。
2022年3月30日，CNVD平台接收到蚂蚁科技集团股份有限公司报送的Spring框架远程命令执行漏洞。由于Spring框架存在处理流程缺陷，攻击者可在远程条件下，实现对目标主机的后门文件写入和配置修改，继而通过后门文件访问获得目标主机权限。使用Spring框架或衍生框架构建网站等应用，且同时使用JDK版本在9及以上版本的，易受此漏洞攻击影响。这次确定的Spring核心框架中的RCE漏洞，CVE号为CVE-2022-22965。
影响范围
该漏洞的利用需要满足下面的条件：
- JDK 9 +
- 使用Apache Tomcat部署
- 使用WAR方式打包
- 依赖spring-webmvc或spring-webflux
虽然，可能国内大部分用户还在用JDK 8、或者采用内置Tomcat的方式运行，但由于该漏洞的特性比较普遍，不排除其他利用方式的存在。所以，DD还是建议在有条件的情况下，尽快升到最新版本来避免可能存在的风险发生。
解决方案
目前，Spring官方已发布新版本完成漏洞修复，CNVD建议受漏洞影响的产品（服务）厂商和信息系统运营者尽快进行自查，并及时升级至最新版本，升级情况如下：
- Spring 5.3.x用户升级到5.3.18+
- Spring 5.2.x用户升级到5.2.20+
- Spring Boot 2.6.x用户升级到2.6.6+
- Spring Boot 2.5.x用户升级到2.5.12+
参考资料：
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://github.com/spring-projects/spring-framework/compare/v5.3.17…v5.3.18
到此这篇关于解析Spring 漏洞及其修复方案的文章就介绍到这了,更多相关Spring 漏洞修复内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！
相关文章
这篇文章主要介绍了vscode快速引入第三方jar包发QQ邮件，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2020-06-06
这篇文章主要介绍了java Matcher匹配头尾截取替换字符串的案例，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2020-12-12
idea快捷键生成getter和setter,有构造参数,无构造参数,重写toString方式
这篇文章主要介绍了java之idea快捷键生成getter和setter,有构造参数,无构造参数,重写toString方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2023-11-11
java客户端Etcd官方仓库jetcd中KeepAlive接口实现
这篇文章主要为大家介绍了java客户端Etcd官方仓库jetcd中KeepAlive接口实现，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，多多加薪2022-02-02
@Transactional遇到try catch失效的问题
这篇文章主要介绍了@Transactional遇到try catch失效的问题及解决方案，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2022-01-01
获取系统参数System.getProperties()与配置文件参数@Value(“${key}“)
这篇文章主要介绍了获取系统参数System.getProperties()与配置文件参数@Value("${key}"),本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下2023-05-05
本文将深入探讨SpringMVC的参数绑定方式，包括基本类型、对象、集合等类型的绑定方式，以及如何处理参数校验和异常。同时，本文还将介绍SpringMVC的数据响应机制，包括如何返回JSON、XML等格式的数据，以及如何处理文件上传和下载。2023-06-06
这篇文章主要介绍了JavaWeb中的Cookie和Session解读,Cookie是servlet发送到Web浏览器的少量信息,该信息由浏览器保存,然后发送回服务器,一般情况下,Cookie是以键值对进行表示的,Cookie的值可以唯一地标识客户端,因此Cookie常用于会话管理,需要的朋友可以参考下2023-10-10
spring security与corsFilter冲突的解决方案
这篇文章主要介绍了spring security与corsFilter冲突的解决方案，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2021-11-11
SpringMVC配置javaConfig及StringHttpMessageConverter示例
这篇文章主要介绍了SpringMVC配置javaConfig及StringHttpMessageConverter实现示例，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2023-07-07
最新评论