如何解决Spring RCE漏洞（CVE-2022-22965）？

发布于 2025-01-18 02:45:25 字数 1128 浏览 3 评论 0 原文

更新

现在，将此问题分配给 cve-2022-22965 。除了以下不错的答案外，请检查因为它是此问题最可靠，最新的网站。

根据不同的来源，在使用Spring Core库时，我们似乎遇到了严重的安全问题。

https://securityboulevard.com/2022/03/new-spring4shell-zero-zero-zero-day-vulnerability-confirmed-what-is-is-is-is-is-is-and-is-and-how-how-to-be-be-be-be-be-be-be-be be-be be be

be ，我们处于风险

链接，如果：您使用春季应用程序（最多和包括版本5.3.17）您的应用程序在Java 9+上运行
您使用name = value对的表单绑定 - 不使用Spring更受欢迎的消息转换JSON/XML，
您不使用允许列表 - 或 - 您没有拒绝诸如“类”，“模块”，“ classloader”

链接建议到某些解决方案，但似乎并不容易实现/可靠。我们该怎么办来解决此问题，最简单，最可靠的方式？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

迷鸟归林 2025-01-25 02:45:25

根据，升级到弹簧框架5.3.18或5.2.20将修复RCE。

如果使用Spring Boot，则“ nofollow noreferrer”> spring boot 2.5.12 和 Spring Boot 2.6.6 修复了漏洞。

如果您无法更新：

可以选择仅升级tomcat。。

如果您不能执行上述任何操作 on webdatabinder @controllerRaldVice >

@ControllerAdvice
@Order(Ordered.LOWEST_PRECEDENCE)
public class BinderControllerAdvice {

    @InitBinder
    public void setAllowedFields(WebDataBinder dataBinder) {
         String[] denylist = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
         dataBinder.setDisallowedFields(denylist);
    }

}

rce公告博客帖子建议解决方法：set discomefields 控制器集 condodyfields 通过其自己的 @initbinder 方法在本地覆盖全局设置。而且，更一般而言，如果您使用诸如球衣之类的替代休息框架（但是，尚未证明对这种配置受到影响），解决方法将不会产生效果。

According to the Spring Framework RCE: Early Announcement, upgrading to Spring Framework 5.3.18 or 5.2.20 will fix the RCE.

If you use Spring Boot, Spring Boot 2.5.12 and Spring Boot 2.6.6 fixes the vulnerability.

If you're unable to update:

You can choose to only upgrade Tomcat. The Apache Tomcat team has released versions 10.0.20, 9.0.62, and 8.5.78 all of which close the attack vector on Tomcat’s side.

If you can't do any of the above, the RCE announcement blog post suggests a workaround: Set disallowedFields on WebDataBinder through an @ControllerAdvice:

@ControllerAdvice
@Order(Ordered.LOWEST_PRECEDENCE)
public class BinderControllerAdvice {

    @InitBinder
    public void setAllowedFields(WebDataBinder dataBinder) {
         String[] denylist = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
         dataBinder.setDisallowedFields(denylist);
    }

}

This quick fix will not work if a controller sets disallowedFields locally through its own @InitBinder method, which overrides the global setting. Also, more generally, the workaround will not have an effect if you use alternate REST frameworks such as Jersey (however, it has not yet been demonstrated that such configurations are impacted).