今晚有大佬在微博说出来一个超级大漏洞，据说危害⚠️比log4j2更大。
0x00漏洞信息
Spring core是Spring系列产品中用来负责发现、创建并处理bean之间的关系的一个工具包，是一个包含Spring框架基本的核心工具包，Spring其他组件都要使用到这个包。未经身份验证的攻击者可以使用此漏洞进行远程任意代码执行。该漏洞广泛存在于Spring 框架以及衍生的框架中，并且JDK 9.0及以上版本会受到影响。
0x01版本漏洞框架组件
1、JDK 9.0 +
2、Spring 框架以及衍生的框架
0x02漏洞信息
0x03漏洞防护及修复
小编注意到github上spring-framework项目已有更新
https://github.com/spring-projects/spring-framework/commit/7f7fb58dd0dae86d22268a4b59ac7c72a6c225291、WAF 临时策略（仅供参考）
在WAF等网络防护设备上，根据实际部署业务的流量情况，实现对
class.*， Class.*， *.class.*， *.Class.* 等字符串的规则过滤，并在部署规则后，对业务允许情况进行测试，避免产生额外影响。
2、需同时可以按以下两个步骤进行漏洞的临时修复:
1.在应用中全局搜索@InitBinder注解，看看方法体内是否调用dataBinder.setDisallowedFields方法，如果发现此代码片段的引入，则在原来的黑名单中，添加{"class.*","Class. *","*. class.*", "*.Class.*"}。(注:如果此代码片段使用较多,需要每个地方都追加)
2. 在应用系统的项目包下新建以下全局类，并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后，需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;import org.springframework.web.bind.WebDataBinder;import org.springframework.web.bind.annotation.ControllerAdvice;import org.springframework.web.bind.annotation.InitBinder;public class GlobalControllerAdvice{public void setAllowedFields(webdataBinder dataBinder){String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};dataBinder.setDisallowedFields(abd);}}
原文始发于微信公众号（Hx0战队）：Spring Core RCE 0 day 漏洞预警及修复建议
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论