3月29日，Spring框架曝出RCE 0day漏洞。已經證實由於 SerializationUtils#deserialize 基於 Java 的序列化機制，可導致遠程代碼執行 (RCE)，使用JDK9及以上版本皆有可能受到影響。
相關監測發現該漏洞可能已被遠程攻擊者利用，廣東省網絡安全應急響應中心連夜發布預警通知，考慮到Spring框架的廣泛應用，對漏洞評級為：危險。
漏洞描述：
作為目前全球最受歡迎的Java輕量級開源框架，Spring允許開發人員專注於業務邏輯，簡化Java企業級應用的開發周期。
但在Spring框架的JDK9版本（及以上版本）中，遠程攻擊者可在滿足特定條件的基礎上，通過框架的參數綁定功能獲取AccessLogValve對象並諸如惡意字段值，從而觸發pipeline機制並 寫入任意路徑下的文件。
目前已知，觸發該漏洞需要滿足兩個基本條件：
-
使用JDK9及以上版本的Spring MVC框架
-
Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class
漏洞影響范圍：
JDK9 <= Spring Cloud Function
執行“java-version”命令可查看JDK版本
解決方案：
將 Spring 框架升級到 5.3.17 版本，官方已修復！
臨時方案1：WAF臨時策略
在WAF等網絡防護設備上，根據實際部署業務的流量情況，實現對
“class.*”，“Class.*”，“*.class.*”，“*.Class.*”
等字符串的規則過濾，並在部署過濾規則后，對業務允許情況進行測試，避免產生額外影響。
臨時方案2：臨時緩解措施
在應用系統的項目包下新建以下全局類，並保證這個類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對項目進行重新編譯打包和功能驗證測試。並重新發布項目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}
符：漏洞復現地址：https://www.cnblogs.com/white-hat/p/16086054.html
如需給客戶發送漏洞預警，公眾號回復330可獲取PDF版本。
