Spring 框架RCE 安全漏洞及解决方式

2024-05-07 05:09:57

继2021年底由阿里发现的Log4j的严重漏洞之后， Spring框架也被发现了一个重大的安全漏洞。目前这个漏洞的名称被称为“SpringShell： Spring Core RCE 0-day Vulnerability”。
这个漏洞是一个RCE的漏洞，RCE （remote command/code execute），远端命令执行，也就是可以在远端控制服务器，相当于一个命令窗口，类似于linux 的Shell ，所以被称为 SpringShell。发生在去年的Log4j 的漏洞也有类似的状况，所以也被戏称为Log4Shell。
0-day漏洞，又称“零日漏洞”(zero-day)，是已经被发现(有可能未被公开)，而官方还没有相关补丁的漏洞。但是随后，Spring官方对这个问题进行了紧急修复，所以也就不是零日漏洞了。但是这个漏洞目前还没有产生 CVE的漏洞统一编码。

什么情况存在漏洞风险？

满足以下两个条件，则存在风险：

JDK９版本之上
使用了Spring MVC框架

另外，这个漏洞发生在打包成war打包档部署到Tomcat运行的状况，对于开发时使用内嵌的Tomcat不受影响。其他Servlet容器也不影响。

什么样的风险？

上面说到攻击的类型时RCE，远程攻击者可以在满足一定条件的基础上，通过框架的参数绑定功能获取AccessLogValve对象和恶意字段值，从而触发管道机制并写入任意字段。

如何确认是否存在风险

检查服务器的Java版本
在命令行输入

Spring 框架RCE 安全漏洞及解决方式相关推荐

java 自动装载_java_详解Java的Spring框架下bean的自动装载方式，Spring容器可以自动装配相互协 - phpStudy...
详解Java的Spring框架下bean的自动装载方式 Spring容器可以自动装配相互协作bean之间的关系,这有助于减少对XML配置,而无需编写一个大的基于Spring应用程序的较多的和元素. 自 ...
Java（web）项目安全漏洞及解决方式【面试+工作】
Java(web)项目安全漏洞及解决方式[面试+工作] 一.安全性问题层次关系大家经常会听到看到很多很多有关安全性方面的信息,可以说形形色色,对于在网络安全方面不太专业的同志来说,有点眼花缭乱,理不 ...
spring框架xml的几种配置方式
spring框架xml的几种配置方式 ioc配置一般由一下两大类 1 手动装配利用xml手动配置,分为:setter方法装配 ,构造器装配 2 自动装配利用注解自动装配准备工作:userdao ...
【安全】Java（web）项目安全漏洞及解决方式【面试+工作】
文章目录问题一.安全性问题层次关系二.安全性问题的本质三.安全漏洞及处理方式 1.SQL注入攻击 2.XSS跨站脚本攻击 3.CSRF跨站请求伪造漏洞防护 4.URL链接注入漏洞防护 5.会话 ...
Spring 框架的AOP之注解的方式
1. 环境搭建 1.1 导入 jar 包 Spring 框架的基本开发包(6个); Spring 的传统AOP的开发包 spring-aop-4.3.10.RELEASE org.aopallianc ...
【java基础知识】spring框架开发时，怎样解决mysql数据库中Timestamp到String的简单转换
Springboot框架中的sql查询使用的Mybatis,直接查询数据库数据返回的Timestamp是一串数字,并不是我们在数据库中看到的 yyyy-MM-dd HH:mm:ss 格式. 两种方式, ...
紧急：Spring框架被爆出存在0day级别远程命令执行漏洞。漏洞危害程度不亚于log4j漏洞根据目前掌握的信息，JDK版本在9及以上的Spring框架均受影响。该漏洞目前无官方修复补丁
Spring框架被爆出存在0day级别远程命令执行漏洞.漏洞危害程度不亚于log4j漏洞根据目前掌握的信息,JDK版本在9及以上的Spring框架均受影响. 漏洞信息和漏洞影响排查方法如下: 漏洞名称 ...
spring学习12 -Spring 框架模块以及面试常见问题注解等
以下为spring常见面试问题: 1.Spring 框架中都用到了哪些设计模式? Spring框架中使用到了大量的设计模式,下面列举了比较有代表性的: 代理模式-在AOP和remoting中被用的比较 ...
spring框架_一篇文章带你理解Spring框架
虽然现在流行用SpringBoot了,很多配置已经简化和封装了,但是对于Spring的一些基础我们了解一些是对我们自己的架构思想很有帮助的!接下来和笔者一起来探讨一下Spring框架吧! 1.什么是S ...

最新文章

热门文章