建站
咨詢
售后
建站咨詢
新聞中心
3月29日，Spring框架曝出RCE 0day漏洞。已經(jīng)證實(shí)由于 SerializationUtils#deserialize 基于 Java 的序列化機(jī)制，可導(dǎo)致遠(yuǎn)程代碼執(zhí)行 (RCE)，使用JDK9及以上版本皆有可能受到影響。
成都創(chuàng)新互聯(lián)長期為數(shù)千家客戶提供的網(wǎng)站建設(shè)服務(wù)，團(tuán)隊(duì)從業(yè)經(jīng)驗(yàn)10年，關(guān)注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為澄海企業(yè)提供專業(yè)的網(wǎng)站制作、成都網(wǎng)站建設(shè)，澄海網(wǎng)站改版等技術(shù)服務(wù)。擁有10余年豐富建站經(jīng)驗(yàn)和眾多成功案例,為您定制開發(fā)。
相關(guān)監(jiān)測發(fā)現(xiàn)該漏洞可能已被遠(yuǎn)程攻擊者利用，廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心連夜發(fā)布預(yù)警通知，考慮到Spring框架的廣泛應(yīng)用，F(xiàn)reeBuf對漏洞評級為：危險。
漏洞描述：
作為目前全球最受歡迎的Java輕量級開源框架，Spring允許開發(fā)人員專注于業(yè)務(wù)邏輯，簡化Java企業(yè)級應(yīng)用的開發(fā)周期。
但在Spring框架的JDK9版本(及以上版本)中，遠(yuǎn)程攻擊者可在滿足特定條件的基礎(chǔ)上，通過框架的參數(shù)綁定功能獲取AccessLogValve對象并諸如惡意字段值，從而觸發(fā)pipeline機(jī)制并 寫入任意路徑下的文件。
目前已知，觸發(fā)該漏洞需要滿足兩個基本條件：
- 使用JDK9及以上版本的Spring MVC框架
- Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class
漏洞影響范圍：
- JDK9 <= Spring Cloud Function
- 執(zhí)行“java-version”命令可查看JDK版本
解決方案(臨時)：
目前Spring官方并沒有發(fā)布與此漏洞相關(guān)的補(bǔ)丁文件，相關(guān)漏洞POC也暫未被公開?？紤]到自3月29日起已在小范圍傳播，鑒于Spring MVC的廣泛應(yīng)用，各企業(yè)仍需警惕遠(yuǎn)程攻擊者，并采用廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心公布臨時方案加強(qiáng)防護(hù)。FreeBuf將密切關(guān)注Spring官方的補(bǔ)丁發(fā)布情況。
臨時方案1：WAF臨時策略
在WAF等網(wǎng)絡(luò)防護(hù)設(shè)備上，根據(jù)實(shí)際部署業(yè)務(wù)的流量情況，實(shí)現(xiàn)對：
“class.*”，“Class.*”，“*.class.*”，“*.Class.*”
等字符串的規(guī)則過濾，并在部署過濾規(guī)則后，對業(yè)務(wù)允許情況進(jìn)行測試，避免產(chǎn)生額外影響。
臨時方案2：臨時緩解措施
在應(yīng)用系統(tǒng)的項(xiàng)目包下新建以下全局類，并保證這個類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對項(xiàng)目進(jìn)行重新編譯打包和功能驗(yàn)證測試。并重新發(fā)布項(xiàng)目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}
網(wǎng)站名稱：漏洞情報 | Spring RCE 0day高危漏洞預(yù)警
當(dāng)前路徑：http://www.dlmjj.cn/article/dppcics.html
