继上次因为Log4j2系列漏洞的公开，国内外企业纷纷展开修复工作，其影响面之大，可以说覆盖了各行各业，消息一出，当晚各公司程序员、安全从业者纷纷熬夜奋战，然而上个漏洞有些公司可能都还没修复完，今天又爆出一影响面极大的漏洞 Spring Core RCE 。
下图为今晚传遍安全圈的某大佬复现截图：
看完之后网友纷纷感叹（大佬牛逼）：
利用条件：
1、JDK 9.0 +
2、使用了Spring框架以及衍生的框架
临时缓解：
可在WAF增加对
class.*， Class.*， *.class.*， *.Class.*等字符串的规则过滤，并在部暑过滤规则后，应对业务运行情况进行测试，避免产生额外影响。
2. 代码层面（转自归零安全）
2.1 在应用中全局搜索@InitBinder注解，看看方法体内是否调用dataBinder.setDisallowedFields方法，如果发现此代码片段的引入，则在原来的黑名单中，添加{"class.","Class. ",". class.", ".Class."}。(注:如果此代码片段使用较多,需要每个地方都追加)2.2 在应用系统的项目包下新建以下全局类，并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后，需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.","Class.",".class.",".Class."};
dataBinder.setDisallowedFields(abd);
}
}
漏洞修复建议：
目前，暂无官方补丁，静待官方发布补丁。
原文始发于微信公众号（醒狮运维）：又一核弹级漏洞？Spring Core RCE
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论