又一核弹级漏洞？Spring Core RCE

继上次因为Log4j2系列漏洞的公开，国内外企业纷纷展开修复工作，其影响面之大，可以说覆盖了各行各业，消息一出，当晚各公司程序员、安全从业者纷纷熬夜奋战，然而上个漏洞有些公司可能都还没修复完，今天又爆出一影响面极大的漏洞 Spring Core RCE 。

下图为今晚传遍安全圈的某大佬复现截图：

看完之后网友纷纷感叹（大佬牛逼）：

利用条件：

1、JDK 9.0 +

2、使用了Spring框架以及衍生的框架

临时缓解：

1. 安全设备层面
可在WAF增加对class.*， Class.*， *.class.*， *.Class.*等字符串的规则过滤，并在部暑过滤规则后，应对业务运行情况进行测试，避免产生额外影响。

2. 代码层面（转自归零安全）

2.1 在应用中全局搜索@InitBinder注解，看看方法体内是否调用dataBinder.setDisallowedFields方法，如果发现此代码片段的引入，则在原来的黑名单中，添加{"class.","Class. ",". class.", ".Class."}。(注:如果此代码片段使用较多,需要每个地方都追加)

2.2 在应用系统的项目包下新建以下全局类，并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后，需对项目进行重新编译打包和功能验证测试。并重新发布项目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.","Class.",".class.",".Class."};
dataBinder.setDisallowedFields(abd);
}
}

漏洞修复建议：

目前，暂无官方补丁，静待官方发布补丁。

原文始发于微信公众号（醒狮运维）：又一核弹级漏洞？Spring Core RCE