Spring社区发布了一篇名为《Spring Framework RCE, Early Announcement》的文章，官宣了最近网传的Spring漏洞。攻击者利用该漏洞，可在未授权的情况下远程执行命令。目前，漏洞利用细节已大范围公开，好在Spring官方已发布补丁修复该漏洞。

漏洞分析

Spring框架（Framework）是一个开源的轻量级J2EE应用程序开发框架，提供了IOC、AOP及MVC等功能，解决了程序人员在开发中遇到的常见问题，提高了应用程序开发便捷度和软件系统构建效率。

2022年3月30日，CNVD平台接收到蚂蚁科技集团股份有限公司报送的Spring框架远程命令执行漏洞。由于Spring框架存在处理流程缺陷，攻击者可在远程条件下，实现对目标主机的后门文件写入和配置修改，继而通过后门文件访问获得目标主机权限。使用Spring框架或衍生框架构建网站等应用，且同时使用JDK版本在9及以上版本的，易受此漏洞攻击影响。这次确定的Spring核心框架中的RCE漏洞，CVE号为CVE-2022-22965。

影响范围

该漏洞的利用需要满足下面的条件：

JDK 9 +
使用Apache Tomcat部署
使用WAR方式打包
依赖spring-webmvc或spring-webflux

虽然，可能国内大部分用户还在用JDK 8、或者采用内置Tomcat的方式运行，但由于该漏洞的特性比较普遍，不排除其他利用方式的存在。所以，DD还是建议在有条件的情况下，尽快升到最新版本来避免可能存在的风险发生。

解决方案

目前，Spring官方已发布新版本完成漏洞修复，CNVD建议受漏洞影响的产品（服务）厂商和信息系统运营者尽快进行自查，并及时升级至最新版本，升级情况如下：

Spring 5.3.x用户升级到5.3.18+
Spring 5.2.x用户升级到5.2.20+
Spring Boot 2.6.x用户升级到2.6.6+
Spring Boot 2.5.x用户升级到2.5.12+

参考资料：
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://github.com/spring-projects/spring-framework/compare/v5.3.17…v5.3.18

Spring 漏洞及其修复方案相关推荐

绿盟漏扫系统漏洞及修复方案
绿盟漏扫系统漏洞及修复方案漏洞1 详细描述: 1.X-Content-Type-Options HTTP 消息头相当于一个提示标志,被服务器用来提示客户端一定要遵循在 Content-Type 首部 ...
常见主机漏洞及修复方案
1.openssh累积型漏洞高 cve-2017-10012 修复意见: 升级版本至>=openssh-5.3p1-122.el6 2.NTP累积型漏洞高修复意见: 稳定版请尽快安装 ...
检测到目标URL存在http host头攻击漏洞，修复方案：在Web服务器防止Host头攻击
一.前言漏洞描述:为了方便的获得网站域名,开发人员一般依赖于HTTP Host header.例如,在php里用_SERVER["HTTP_HOST"].但是这个header是不 ...
XSS漏洞及修复方案
XSS攻击通常指的是通过利用网页开发时留下的漏洞,通过巧妙的方法注入恶意指令代码到网页,使用户加载并执行攻击者恶意制造的网页程序.这些恶意网页程序通常是JavaScript,但实际上也可以包括Java ...
php imagemagick 漏洞,ImageMagick漏洞(CVE-2016-3714)修复方案
关于这个漏洞影响ImageMagick 6.9.3-9以前是所有版本,包括ubuntu源中安装的ImageMagick.而官方在6.9.3-9版本中对漏洞进行了不完全的修复.所以,我们不能仅通过更新I ...
常见安全漏洞及修复方案
1.1 跨站脚本(XSS)漏洞漏洞描述跨站脚本攻击(Cross Site Scripting, XSS)发生在客户端,可被用于进行窃取隐私.钓鱼欺骗.偷取密码.传播恶意代码等攻击行为. 恶意的攻击 ...
os安全漏洞手动修复方案
本次方案设计主要针对手动安装部署漏洞修复包,方案主要思路提供一个shell脚本,该脚本支持本地漏洞rpm包的checklist.install,rollback. 一.漏洞修复软件包目录结构:inst ...
oracle tns远程监听器中毒,Oracle 11.2.0.4 TNS 监听器远程中毒漏洞(CVE-2012-1675)修复方案...
Oracle 11.2.0.4 单实例和RAC修复方案随着对网络安全的进一步重视,Oracle TNS 监听器远程中毒漏洞(CVE-2012-1675)被列为了高危漏洞,需要进行漏洞修复. 从Ora ...
Linux 系统安全 - 近期发现的 polkit pkexec 本地提权漏洞(CVE-2021-4034)修复方案
时间: 20220-1-25 事件: qualys 安全研究人员披露 CVE-2021-4034 polkit pkexec 本地提权漏洞细节. 漏洞描述: polkit pkexec 中对命令行参数 ...
物联网设备大华、雄迈等设备存在弱口令漏洞及修复方案
漏洞描述: Mirai是近期非常热门的僵尸网络,Mirai控制的肉鸡主要是运行着特定armlinux系统的物联网设备,包含安防监控设备,摄像头,路由设备等. 安全指数通过设备指纹进行分析,估算出大华设 ...

Spring 漏洞及其修复方案

漏洞分析

影响范围

解决方案

Spring 漏洞及其修复方案相关推荐

最新文章

热门文章