漏洞描述
该漏洞是SpringFramework数据绑定的一个漏洞,如果后台方法中接受的参数为非基础类型,Spring会根据前端传入的请求正文中的参数的key值来查询与其名称所对应的getter和setter方法,攻击者利用这一特性修改了Tomcat的一个用于日志记录的类的属性,进而当Tomcat在进行写日志操作的时候,将攻击者传递的恶意代码写入指定目录的指定文件中。
危害级别 严重
漏洞细节 | 漏洞POC | 攻击复杂度 | 漏洞EXP | 在野利用 |
---|---|---|---|---|
是 | 公开 | 低 | 公开 | 未知 |
影响范围
若满足如下两个条件则确定受到漏洞影响:
(1)使用JDK>=9
(2)Spring开发或衍生框架开发(存在spring-bean*.jar)
spring-framework < v5.3.18
spring-framework < v5.2.20.RELEASE
漏洞排查方法
JDK版本号排查
在系统的运行服务器上,执行“java -version”命令查看运行的JDK版本,如果版本号小于等于8,则不受漏洞影响。
Spring框架使用情况排查
如果业务系统项目以war包形式部署,按照如下步骤进行判断:
解压war包:将war文件的后缀修改成.zip ,解压zip文件;
在解压缩目录下搜索是否存在 spring-beans-*.jar 格式的jar文件(例如spring-beans-5.3.16.jar),如存在则说明业务系统使用了spring框架进行开发;
如果spring-beans-*.jar 文件不存在,则在解压缩目录下搜索CachedIntrospectionResuLts.class 文件是否存在,如存在则说明业务系统使用了Spring框架开发。
如果业务系统项目以jar包形式直接独立运行,按照如下步骤进行判断。
解压jar包:将jar文件的后缀修改成.zip,解压zip文件;
在解压缩目录下搜索是否存在spring-beans-*.jar 格式的jar文件(例如spring-beans-5.3.16.jar),如存在则说明业务系统使用了spring框架进行开发;
如果spring-beans-*.jar文件不存在,则在解压缩目录下搜索CachedIntrospectionResuLts.class 文件是否存在,如存在则说明业务系统使用了spring框架进行开发。
综合判断
在完成以上两个步骤排查后,同时满足以下两个条件可确定受此漏洞影响:
JDK版本号在9及以上的;
使用了spring框架或衍生框架。
漏洞修复建议
官方修复方法
受影响的用户可以通过下面的方法解决该漏洞的风险:
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
Spring 5.3.x用户升级到5.3.18+
Spring 5.2.x用户升级到5.2.20+
Spring Boot 2.6.x用户升级到2.6.6+
Spring Boot 2.5.x用户升级到2.5.12+
WAF防护
在WAF等网络防护设备上,根据实际部署业务的流量情况,实现对“class.*”“Class.*”“*.class.*”“*.Class.*”等字符串的规则过滤,并在部暑过滤规则后,对业务运行情况进行测试,避免产生额外影响。
临时修复措施
需同时按以下两个步骤进行漏涧的临时修复:
1.在应用中全局搜索@InitBinder注解,看看方法体内是否调用dataBinder.setDisallowedFields方法,如果发现此代码片段的引入,则在原来的黑名单中,添加{"class.*","Class. *","*. class.*", "*.Class.*"}。 (注:如果此代码片段使用较多,需要每个地方都追加)。
2. 在应用系统的项目包下新建以下全局类,并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后,需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}
参考文章
https://github.com/helloexp/0day/tree/master/22-Spring%20Core
https://mp.weixin.qq.com/s/fhufVG57yHESORVywzSCXA
https://mp.weixin.qq.com/s/QtFC71efccrSTutvRczhiQ
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
https://tanzu.vmware.com/security/cve-2022-22965
https://docs.spring.io/spring-framework/docs/current/reference/html/web.html#mvc-config-advanced-java INGEEK Security Announcement