Spring框架被爆出存在0day级别远程命令执行漏洞。漏洞危害程度不亚于log4j漏洞根据目前掌握的信息,JDK版本在9及以上的Spring框架均受影响。

漏洞信息和漏洞影响排查方法如下:
漏洞名称:Spring框架JDN注入漏洞
漏洞编号:0Day
漏洞等级:高危
一·漏洞影响排查方法
(一).JDK版本号排查
在业务系统的运行服务器上,执行“java -version”命令查看运行的JDK版本,如果版本号小于等于8,则不受漏洞影响
(二).Spring框架使用情况排查
1.如果业务系统项目以war包形式部署,按照如下步骤进行判断。
⑴解压war包:将war文件的后缀修改成.zip ,解压zip文件
⑵在解压缩目录下搜索是否存在 spring-beans-*.jar 格式的jar文件(例如spring-beans-5.3.16.jar),如存在则说明业务系统使用了spring框架进行开发。
⑶如果spring-beans-*.jar 文件不存在,则在解压缩目录下搜索CachedIntrospectionResuLts.class 文件是否存在,如存在则说明业务系统使用了Spring框架开发。
2.如果业务系统项目以jar包形式直接独立运行,按照如下步骤进行判断。
⑴解压jar包:将jar文件的后缀修改成.zip,解压zip文件。
⑵在解压缩目录下搜索是否存在spring-beans-*.jar 格式的jar文件(例如spring-beans-5.3.16.jar),如存在则说明业务系统使用了spring框架进行开发。
⑶如果spring-beans-*.jar 文件不存在,则在解压缩目录下搜索CachedIntrospectionResuLts.class 文件是否存在,如存在则说明业务系统使用了spring框架进行开发。
(三).综合判断
在完成以上两个步骤排查后,同时满足以下两个条件可确定受此漏洞影响:
⑴JDK版本号在9及以上的;
⑵使用了spring框架或衍生框架。

二·漏洞修复建议
目前,spring官方无官方补丁,建议采用以下二个临时方案进行防护,并及时关注官方补丁发布情况,按官方补丁修复漏洞。
(一)WAF防护
在WAF等网络防护设备上,根据实际部署业务的流量情况,实现对“class.*”“Class.*”“*.class.*”“*.Class.*”等字符串的规则过滤,并在部暑过滤规则后,对业务运行情况进行测试,避免产生额外影响。
(二)临时修复措施
需同时按以下两个步骤进行漏涧的临时修复:
1.在应用中全局搜索@InitBinder注解,看看方法体内是否调用dataBinder.setDisallowedFields方法,如果发现此代码片段的引入,则在原来的黑名单中,添加{"class.*","Class. *","*. class.*", "*.Class.*"}。 (注:如果此代码片段使用较多,需要每个地方都追加)

2. 在应用系统的项目包下新建以下全局类,并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后,需对项目进行重新编译打包和功能验证测试。并重新发布项目。
        import org.springframework.core.annotation.Order;
        import org.springframework.web.bind.WebDataBinder;
        import org.springframework.web.bind.annotation.ControllerAdvice;
        import org.springframework.web.bind.annotation.InitBinder;
        @ControllerAdvice
        @Order(10000)
        public class GlobalControllerAdvice{ 
             @InitBinder
             public void setAllowedFields(webdataBinder dataBinder){
             String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
             dataBinder.setDisallowedFields(abd);
             }
        }

紧急:Spring框架被爆出存在0day级别远程命令执行漏洞。漏洞危害程度不亚于log4j漏洞根据目前掌握的信息,JDK版本在9及以上的Spring框架均受影响。该漏洞目前无官方修复补丁相关推荐

  1. CNCERT:关于Spring框架存在远程命令执行漏洞的安全公告

    安全公告编号:CNTA-2022-0009 2022年3月30日,国家信息安全漏洞共享平台(CNVD)收录了Spring框架远程命令执行漏洞(CNVD-2022-23942).攻击者利用该漏洞,可在未 ...

  2. Spring 框架更新了一条可能造成 RCE(远程命令执行漏洞)

    今天 Spring 框架更新了一条可能造成 RCE(远程命令执行漏洞)的问题代码,如图: 随即在国内安全圈炸开了锅,大家纷纷转发一张图: 上次因为核弹级漏洞 log4j2 的 POC 公开,大批企业为 ...

  3. war包启动命令_【漏洞预警】Oracle WebLogic远程命令执行0day漏洞(CVE20192725补丁绕过)...

    概述 近日,奇安信天眼与安服团队通过数据监控发现,野外出现Oracle WebLogic远程命令执行漏洞最新利用代码,此攻击利用绕过了厂商今年4月底所发布的最新安全补丁(CVE-2019-2725). ...

  4. 邮件传输代理Exim远程命令执行漏洞细节披露,影响全球近一半邮件服务器

    注意:是远程命令执行,不是远程代码执行 Exim是一个MTA(Mail Transfer Agent,邮件传输代理)服务器软件,该软件基于GPL协议开发,是一款开源软件.该软件主要运行于类UNIX系统 ...

  5. 【漏洞预警】Redis 4.x/5.x 远程命令执行高危漏洞修复

    Redis 4.x/5.x 远程命令执行高危漏洞修复 漏洞背景 漏洞描述 影响版本(Redis 4.x.Redis 5.x) 安全建议 一.通过阿里云安全组禁止Redis端口对外或只允许特定安全ip地 ...

  6. 远程执行漏洞修复方案_请马上修复!SaltStack远程命令执行漏洞

    [漏洞预警]SaltStack远程命令执行漏洞(CVE-2020-11651.CVE-2020-11652) 2020年5月3日,阿里云应急响应中心监测到近日国外某安全团队披露了SaltStack存在 ...

  7. ThinkPHP V5.0.5漏洞_ThinkPHP 5.x 远程命令执行漏洞分析与复现

    php中文网最新课程 每日17点准时技术干货分享 0x00 前言 ThinkPHP 官方 2018 年 12 月 9 日发布重要的安全更新,修复了一个严重的远程代码执行漏洞.该更新主要涉及一个安全更新 ...

  8. 详述WebLogic反序列化远程命令执行漏洞的处理过程,云和恩墨技术通讯精选

    各位亲爱的用户/读者朋友们: 为了及时共享行业案例,通告共性问题,达成知识共享和提前预防,我们整理和编辑了<云和恩墨技术通讯>(5月刊),通过对过去一段时间的知识回顾和故障归纳,以期提供有 ...

  9. NSA泄密事件之SMB系列远程命令执行漏洞及Doublepulsar后门全球数据分析

    本文讲的是NSA泄密事件之SMB系列远程命令执行漏洞及Doublepulsar后门全球数据分析, 1.   概述 2017 年 4 月 14 日,黑客组织Shadow Brokers 公布了一批新的N ...

最新文章

  1. JAVA多线程--Thinking in java
  2. 使用PyCharm创建Django项目及基本配置
  3. 计算机换色带技巧,色带盒怎么更换 色带盒更换安装方法【图文教程】
  4. WCF 之 消息契约(MessageContract)
  5. 日期和时间 - Java处理日期和时间
  6. pathon和python_Python文件和目录操作详解
  7. golang log日志
  8. 传输层协议TCP和UDP的区别
  9. PPA格式Linux安装,Ubuntu12.04 用PPA安装fcitx和搜狗输入法附加组件Linux版
  10. goal org.mybatis.generator:mybatis-generator-maven-plugin:1.3.6:generate failed: Index: 0, Size: 0
  11. 2.3_ 1_ 进程同步、进程互斥
  12. H264视频压缩编码标准简介(二)
  13. linux命令收集录
  14. android 透明栏,Android状态栏透明(沉浸式效果)
  15. Flutter的Chip标签组件
  16. 【实践】如何用python绘制词云图(文本数据可视化)?
  17. JavaScript倒计时制作
  18. 阿里acp认证是什么?阿里acp考试内容是什么?
  19. 计算机管理任务类别103,win7系统如何查看电脑的历史开关机时间|win7系统怎么查询电脑开机后运行多长时间...
  20. 正在通过app store进行鉴定解决方案

热门文章

  1. 影像变革之年 CP+2019展会五大看点
  2. 中国在线直播行业用户规模达6.35亿人,约97.3%的主播年收入在3万元以下 | 美通社头条...
  3. 编译错误:找不到工程或库
  4. java全文检索word中的内容_搜索引擎时对WORD,EXCEL,PDF,POWERPOINT文件全文检索的总结...
  5. python处理excel多重筛选
  6. 迷茫的程序员和中国软件业
  7. 皮卡丘pikachu
  8. 2019高考(高中)数学必背重点公式大全
  9. 鸿蒙系统之铠甲勇士,国漫几部经典机甲排行,铠甲勇士落榜,第一名竟是抄袭漫威...
  10. Linux CentOS 7 下载安装