【漏洞通告】Spring Framework 远程代码执行漏洞第二次安全风险通告

2022年4月1日，嘉诚安全监测到Spring官方修复了Spring Framework中的远程代码执行漏洞，漏洞编号为：CVE-2022-22965。

Spring Framework是一个开源应用框架，旨在降低应用程序开发的复杂度。它是轻量级、松散耦合的。它具有分层体系结构，允许用户选择组件，同时还为J2EE应用程序开发提供了一个有凝聚力的框架。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

在JDK 9+上运行的 Spring MVC 或 Spring WebFlux应用程序可能容易受到通过数据绑定的远程代码执行 (RCE) 的攻击，该漏洞由于JDK 9+中新添加的函数绕过了Spring CachedIntrospectionResults对ClassLoader获取的限制，导致可以获取到任意ClassLoader，攻击者可以通过发送精心构造的数据请求来注入恶意属性触发漏洞，导致远程代码执行的漏洞风险。

通用修复建议：

目前，Spring官方已经在5.2.20，5.3.18版本修复上述漏洞，用户请及时升级到安全版本，下载链接请参考：

https://github.com/spring-projects/spring-framework/tags

相关链接请参考：

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement