Spring RCE 0day高危预警
3月29日,Spring框架曝出RCE 0day漏洞。已经证实由于 SerializationUtils#deserialize 基于 Java 的序列化机制,可导致远程代码执行 (RCE),使用JDK9及以上版本皆有可能受到影响。
相关监测发现该漏洞可能已被远程攻击者利用,广东省网络安全应急响应中心连夜发布预警通知,考虑到Spring框架的广泛应用,FreeBuf对漏洞评级为:危险。
漏洞描述:
作为目前全球最受欢迎的Java轻量级开源框架,Spring允许开发人员专注于业务逻辑,简化Java企业级应用的开发周期。
但在Spring框架的JDK9版本(及以上版本)中,远程攻击者可在满足特定条件的基础上,通过框架的参数绑定功能获取AccessLogValve对象并诸如恶意字段值,从而触发pipeline机制并 写入任意路径下的文件。
目前已知,触发该漏洞需要满足两个基本条件:
- 使用JDK9及以上版本的Spring MVC框架
- Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class
漏洞影响范围:
JDK9 <= Spring Cloud Function
执行“java-version”命令可查看JDK版本
解决方案(临时):
目前Spring官方并没有发布与此漏洞相关的补丁文件,相关漏洞POC也暂未被公开。考虑到自3月29日起已在小范围传播,鉴于Spring MVC的广泛应用,各企业仍需警惕远程攻击者,并采用广东省网络安全应急响应中心公布临时方案加强防护。FreeBuf将密切关注Spring官方的补丁发布情况。
临时方案1:WAF临时策略
在WAF等网络防护设备上,根据实际部署业务的流量情况,实现对
“class.*”,“Class.*”,“*.class.*”,“*.Class.*”
等字符串的规则过滤,并在部署过滤规则后,对业务允许情况进行测试,避免产生额外影响。
临时方案2:临时缓解措施
在应用系统的项目包下新建以下全局类,并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后,需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}
参考链接:【漏洞通告】Spring RCE 0day漏洞紧急预警!
Spring RCE 0day高危预警相关推荐
- 高危预警!移动设备安全面临的5大新型威胁
本文讲的是高危预警!移动设备安全面临的5大新型威胁, 背景概述 十年前,移动恶意软件还被认为是一种新的可怕的威胁.许多移动设备用户甚至心存侥幸地认为自己可以免遭这种威胁侵害.但是根据迈克菲实验室(Mc ...
- HPE 发布严重的 RCE 0day 漏洞,影响服务器管理软件 SIM,无补丁
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 惠普企业 (HPE) 在专有的 HPE Systems Insight Manager (SIM) 软件(Windows 和 Linu ...
- RCE 0day影响数万台QNAP SOHO NAS 设备
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 SAM Seamless Network 公司的研究员警告称,QNAP SOHO 网络存储设备中被曝两个0day,可导致攻击者远程执行 ...
- Spring 官宣高危漏洞 springboot 2.6.6 已修复
前几天爆出来的 Spring 漏洞,刚修复完又来? 漏洞 CVE-2022-22965 漏洞名称 远程代码执行漏洞 严重级别 高危 影响范围 Spring Framework - 5.3.0 - 5. ...
- 突发!Spring Cloud 爆高危漏洞。。赶紧修复!!
Spring Cloud 突发漏洞 Log4j2 的核弹级漏洞刚告一段落,Spring Cloud Gateway 又突发高危漏洞,又得折腾了... 2022年3月1日,Spring官方发布了关于Sp ...
- Spring Cloud 爆高危漏洞!!!
今日推荐 最适合晚上睡不着看的 8 个网站,建议收藏哦 23 种设计模式的通俗解释,虽然有点污,但是秒懂请立即卸载这款 IDEA 插件!SQL自动检查神器,再也不用担心SQL出错了,自动补全.回滚等功 ...
- Spring RCE 漏洞 CVE-2022-22965 的终极解决方案
在 Spring 框架RCE 安全漏洞及解决方式介绍了 Spring框架爆出的RCE(远程命令执行)漏洞,现在这个漏洞有了统一的编号: CVE-2022-22965. 这个漏洞的主要原因是在JDK 9 ...
- 大企业都在用的开源 ForgeRock OpenAM 被曝预认证 RCE 0day
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士 当地时间上周五,澳大利亚网络安全中心(ACSC)指出,攻击者利用ForgeRock OpenAM 中的一个预认证远程代码执行漏洞攻击大量澳 ...
- 我俩也组了个队,找到一个苹果RCE 0day,获 $5 万奖金
聚焦源代码安全,网罗国内外最新资讯! 作者:HarshJaiswal 和 Rahul Maini 编译:奇安信代码卫士团队 2020年10月,几名研究员合力从苹果产品中发现55个漏洞并获30多万美元 ...
最新文章
- 全新思科数字化解决方案与产品让企业如虎添翼
- IDA*-洛谷P1379 八数码难题
- 从XaaS到Java EE – 2012年哪一种该死的云最适合我?
- 【机器学习】逻辑回归—良/恶性乳腺癌肿瘤预测
- mysql mpm_使用Zabbix + MPM全面监控MySQL
- 2019-1、CentOS7+安装Tengine_2_3_2(Nginx 1_17_0)
- mfc动态改变clip风格_echarts动态滑动平均滤波
- python怎样实现封装_Python底层封装实现方法详解
- C#中调用Windows API的要点 .
- oracle管理员的作用,ORACLE数据库管理员的职责
- Android中加载Gif动画
- webservice规范及webservice框架
- 微信公总测试号的申请+微信网页授权
- QT 打开PDF文件或图片
- 3D转换 透视 3D旋转魔方
- 关于使用Python——写模拟手机通讯录查询系统
- 阿里品牌数据品牌银行分析师认证真题资料库整理答案
- windows 2000 系统的不同版本
- Cannot load C:\Users\12778\AppData\Local\JetBrains\IntelliJIdea2021.1\tomcat\c0cf5d96-4221-48ee-b343
- mysql字段掩码_什么叫掩码
热门文章
- 机器学习(3)高斯判别分析朴素贝叶斯分类器
- 查看 KeyStore 文件详细信息命令
- TCP-UCD-IP
- C语言泰勒公式求sin(x)值
- Xilinx ChipScope 的使用 ICON/ILA/VIO
- 华硕笔记本,无线网卡无法启用解决办法
- Win10压缩的在linux打不开,win10压缩包打不开什么原因?打不开压缩包解决方法
- HTML既粗体又斜体,HTML粗体,斜体,预格式化等基操
- 用什么擦地最干净脑筋急转弯_脑筋急转弯:“力”字加两笔,不是办和为,你知道答案吗?...
- 华为荣耀的激活锁是什么如何解开呢卡在激活设备手机无法进系统学会几种有用的方法