解析Spring?漏洞及其修復(fù)方案
Spring社區(qū)發(fā)布了一篇名為《Spring Framework RCE, Early Announcement》的文章，官宣了最近網(wǎng)傳的Spring漏洞。攻擊者利用該漏洞，可在未授權(quán)的情況下遠(yuǎn)程執(zhí)行命令。目前，漏洞利用細(xì)節(jié)已大范圍公開，好在Spring官方已發(fā)布補(bǔ)丁修復(fù)該漏洞。
漏洞分析
Spring框架（Framework）是一個(gè)開源的輕量級(jí)J2EE應(yīng)用程序開發(fā)框架，提供了IOC、AOP及MVC等功能，解決了程序人員在開發(fā)中遇到的常見問題，提高了應(yīng)用程序開發(fā)便捷度和軟件系統(tǒng)構(gòu)建效率。
2022年3月30日，CNVD平臺(tái)接收到螞蟻科技集團(tuán)股份有限公司報(bào)送的Spring框架遠(yuǎn)程命令執(zhí)行漏洞。由于Spring框架存在處理流程缺陷，攻擊者可在遠(yuǎn)程條件下，實(shí)現(xiàn)對(duì)目標(biāo)主機(jī)的后門文件寫入和配置修改，繼而通過后門文件訪問獲得目標(biāo)主機(jī)權(quán)限。使用Spring框架或衍生框架構(gòu)建網(wǎng)站等應(yīng)用，且同時(shí)使用JDK版本在9及以上版本的，易受此漏洞攻擊影響。這次確定的Spring核心框架中的RCE漏洞，CVE號(hào)為CVE-2022-22965。
影響范圍
該漏洞的利用需要滿足下面的條件：
- JDK 9 +
- 使用Apache Tomcat部署
- 使用WAR方式打包
- 依賴spring-webmvc或spring-webflux
雖然，可能國內(nèi)大部分用戶還在用JDK 8、或者采用內(nèi)置Tomcat的方式運(yùn)行，但由于該漏洞的特性比較普遍，不排除其他利用方式的存在。所以，DD還是建議在有條件的情況下，盡快升到最新版本來避免可能存在的風(fēng)險(xiǎn)發(fā)生。
解決方案
目前，Spring官方已發(fā)布新版本完成漏洞修復(fù)，CNVD建議受漏洞影響的產(chǎn)品（服務(wù)）廠商和信息系統(tǒng)運(yùn)營者盡快進(jìn)行自查，并及時(shí)升級(jí)至最新版本，升級(jí)情況如下：
- Spring 5.3.x用戶升級(jí)到5.3.18+
- Spring 5.2.x用戶升級(jí)到5.2.20+
- Spring Boot 2.6.x用戶升級(jí)到2.6.6+
- Spring Boot 2.5.x用戶升級(jí)到2.5.12+
參考資料：
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://github.com/spring-projects/spring-framework/compare/v5.3.17…v5.3.18
到此這篇關(guān)于解析Spring 漏洞及其修復(fù)方案的文章就介紹到這了,更多相關(guān)Spring 漏洞修復(fù)內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
這篇文章主要介紹了Lombok和MapStruct整合詳情，文章基于Java的相關(guān)資料展開詳細(xì)內(nèi)容，需要的小伙伴可以參考一下2022-05-05
HttpClient HttpRoutePlanner接口確定請(qǐng)求目標(biāo)路由
這篇文章主要為大家介紹了使用HttpClient HttpRoutePlanner接口確定請(qǐng)求目標(biāo)路由,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進(jìn)步,早日升職加薪2023-10-10
設(shè)計(jì)模式看來更像是一種設(shè)計(jì)思維或設(shè)計(jì)思想，為你的項(xiàng)目工程提供方向，讓你的項(xiàng)目工程更加健壯、靈活，延續(xù)生命力。本文即將分享的是設(shè)計(jì)模式的其中一種：代理模式，感興趣的可以了解一下2022-09-09
IDEA創(chuàng)建Maven項(xiàng)目后報(bào)錯(cuò)不出現(xiàn)src文件夾的情況解決
最近剛開始學(xué)習(xí)maven,正準(zhǔn)備使用idea創(chuàng)建一個(gè)maven項(xiàng)目練手,卻發(fā)現(xiàn)自己創(chuàng)建的maven項(xiàng)目始終沒有src目錄,下面這篇文章主要給大家介紹了關(guān)于IDEA創(chuàng)建Maven項(xiàng)目后報(bào)錯(cuò)不出現(xiàn)src文件夾的情況解決,需要的朋友可以參考下2023-05-05
@Transactional跟@DS動(dòng)態(tài)數(shù)據(jù)源注解沖突的解決
這篇文章主要介紹了@Transactional跟@DS動(dòng)態(tài)數(shù)據(jù)源注解沖突的解決，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2021-09-09
如何利用Java獲取當(dāng)天的開始和結(jié)束時(shí)間
這篇文章主要介紹了如何使用Java?8的LocalDate和LocalDateTime類獲取指定日期的開始和結(jié)束時(shí)間,展示了如何通過這些類進(jìn)行日期和時(shí)間的處理,從而簡化了日期時(shí)間操作,需要的朋友可以參考下2025-02-02
vue+springboot上傳文件、圖片、視頻及回顯到前端詳解
一般來說vue可以使用axios或者fetch等ajax庫發(fā)送文件請(qǐng)求,而springboot則可以使用Spring MVC的方式來處理上傳文件請(qǐng)求,下面這篇文章主要給大家介紹了關(guān)于vue+springboot上傳文件、圖片、視頻及回顯到前端的相關(guān)資料,需要的朋友可以參考下2023-04-04
這篇文章主要介紹了mybatis查詢SqlServer慢問題及解決方案,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-08-08
Java?通過手寫分布式雪花SnowFlake生成ID方法詳解
SnowFlake是twitter公司內(nèi)部分布式項(xiàng)目采用的ID生成算法，開源后廣受國內(nèi)大廠的好評(píng)。由這種算法生成的ID，我們就叫做SnowFlakeID，下面我們來詳細(xì)看看2022-04-04
這篇文章主要為大家分享了最有價(jià)值的6道java面試題，涵蓋內(nèi)容全面，包括數(shù)據(jù)結(jié)構(gòu)和算法相關(guān)的題目、經(jīng)典面試編程題等，對(duì)hashCode方法的設(shè)計(jì)、垃圾收集的堆和代進(jìn)行剖析，感興趣的小伙伴們可以參考一下2021-06-06