快捷導(dǎo)航

Spring Framework遠(yuǎn)程代碼執(zhí)行漏洞分析(最新漏洞)

更新時(shí)間：2022年04月01日 09:09:23 作者：持行非就

Spring Framework 是一個(gè)開源應(yīng)用框架，旨在降低應(yīng)用程序開發(fā)的復(fù)雜度，它具有分層體系結(jié)構(gòu)，允許用戶選擇組件，同時(shí)還為 J2EE 應(yīng)用程序開發(fā)提供了一個(gè)有凝聚力的框架，對(duì)Spring遠(yuǎn)程代碼執(zhí)行漏洞相關(guān)知識(shí)感興趣的朋友一起看看吧

1.漏洞描述

Spring Framework 是一個(gè)開源應(yīng)用框架，旨在降低應(yīng)用程序開發(fā)的復(fù)雜度。它是輕量級(jí)、松散耦合的。它具有分層體系結(jié)構(gòu)，允許用戶選擇組件，同時(shí)還為 J2EE 應(yīng)用程序開發(fā)提供了一個(gè)有凝聚力的框架。但是在JDK9及以上版本環(huán)境中，一些新的版本特性，可以使攻擊者繞過一些安全特性，借助某些中間件構(gòu)造數(shù)據(jù)包修改敏感文件，達(dá)到遠(yuǎn)程代碼執(zhí)行目的。

2.漏洞影響排查方法

2.1.JDK 版本號(hào)排查

在業(yè)務(wù)系統(tǒng)的運(yùn)行服務(wù)器上，執(zhí)行“java -version"命令查看運(yùn)行的 JDK 版本。

如果版本號(hào)小于等于 8，則不受此漏洞影響。

（不受影響的版本）??

2.2.Spring 框架使用情況排査

如果業(yè)務(wù)系統(tǒng)項(xiàng)目以 war(jar) 包形式部署，按照如下的步驟進(jìn)行判斷：

解壓 war(jar) 包：將war(jar)文件的后綴修改成 .zip ，解壓 zip 文件。
在解壓縮目錄下搜索是否存在 spring-beans-*.jar 格式的文件（例如spring-beans-5.3.16.jar），如存在則說明業(yè)務(wù)系統(tǒng)使用了Spring框架進(jìn)行開發(fā)。
如果spring-beans-*.jar文件不存在，則在解壓縮目錄下搜索CachedlntrospectionResults.class文件是否存在，如存在則說明業(yè)務(wù)系統(tǒng)使用了Spring框架進(jìn)行開發(fā)。

3.解決方案

3.1.版本升級(jí)

目前，Spring官方已發(fā)布漏洞修復(fù)版本，請(qǐng)用戶及時(shí)更新至最新版本：

https://github.com/spring-projects/spring-framework/tags

安全版本：

Spring Framework == 5.3.18

Spring Framework == 5.2.20

3.2.緩解措施

無法升級(jí)版本的用戶，建議采用以下兩個(gè)臨時(shí)方案進(jìn)行防護(hù)。

UWAF 防護(hù)

在UWAF配置中，根據(jù)實(shí)際業(yè)務(wù)部署的情況，配置正則規(guī)則，對(duì) "class.module.*" 字符串添加過濾規(guī)則，在部署過濾規(guī)則后，對(duì)業(yè)務(wù)運(yùn)行情況進(jìn)行測(cè)試，避免產(chǎn)生額外影響。

注意：其中流量特征 "class.module.*" 對(duì)大小寫不敏感。

臨時(shí)修復(fù)措施

需同時(shí)按以下兩個(gè)步驟進(jìn)行漏洞的臨時(shí)修復(fù)：

在應(yīng)用中全局搜索@InitBinder 注解，看方法體內(nèi)是否調(diào)用dataBinder.setDisallowedFields方法。如果發(fā)現(xiàn)此代碼片段的引入，則在原來的黑名單中添加 { " class.module.*"}。注意：如果此代碼片段使用較多，需要每個(gè)地方都追加。
在應(yīng)用系統(tǒng)的項(xiàng)目包下新建以下全局類，并保證這個(gè)類被Spring加載到（推薦在 Controller所在的包中添加）。完成類添加后，需對(duì)項(xiàng)目進(jìn)行重新編譯打包和功能驗(yàn)證測(cè)試，并重新發(fā)布項(xiàng)目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice@Order(10000)
public class GlobalControllerAdvice{
   @InitBinder
   public void setAllowedFields(webdataBinder dataBinder){
   String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
   dataBinder.setDisallowedFields(abd);
   }
}

到此這篇關(guān)于Spring Framework遠(yuǎn)程代碼執(zhí)行漏洞的文章就介紹到這了,更多相關(guān)Spring遠(yuǎn)程代碼執(zhí)行漏洞內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: