2022.14 Spring漏洞
最近Spring生态接连出现了多个漏洞:
![](https://img2022.cnblogs.com/blog/150046/202204/150046-20220403185951482-485893337.png)
1、CVE-2022-22965 Spring Framework RCE via Data Binding on JDK 9+
用户可以通过数据绑定的方式引发远程代码执行 (RCE) 攻击漏洞,触发的条件是
- JDK 9+
- Apache Tomcat(war 包部署形式)
- Spring MVC/ Spring WebFlux 应用程序
漏洞是高危的,不过国内受影响应该不多,因为目前大部分是用JDK8,且大部分使用 Spring Boot 开发一般都是打成 jar 包内嵌Web容器运行的。如果真中了,可以升级到最新版本解决。
升级到最新版本:Spring Framework 5.3.17 Spring Boot 用户升级到:2.5.11、2.6.5
Spring 用户升级到以下安全版本:
- Spring 5.3.18+
- Spring 5.2.20+
Spring Boot 用户升级到以下安全版本:
- Spring Boot 2.6.6+
- Spring Boot 2.5.12+
2、 CVE-2022-22963 Remote code execution in Spring Cloud Function by malicious Spring Expression
该漏洞是Spring Cloud Function的,在使用路由功能时,用户可以制作特制的 SpEL 表达式作为路由表达式,从而导致用户可以 访问本地资源 的漏洞。
Spring Cloud Function是 Spring Cloud 项目中的一个子项目,提供了 Spring 开发人员利用 serverless(无服务器架构)或 FaaS(Function as a Service,功能即服务) 的功能的能力。它抽象出了所有传输细节和基础设施,允许开发人员保留所有熟悉的工具和流程,并专注于业务逻辑。
解决方案:手动升级到最新版本:Spring Cloud Function 3.1.7 & 3.2.3
3、CVE-2022-22950 Spring Expression DoS Vulnerability
用户可以通过制作特制的 SpEl 表达式引发 DoS(拒绝服务)漏洞。
解决方案:
升级到最新版本:Spring Framework 5.3.17+ Spring Boot 用户升级到:2.6.5+
有句话说的好,是软件总会有漏洞,Spring也不例外。因为用它的人多,所以它的漏洞也格外被人关注。
作为技术人员我们使用它,就要关注并接受它也会出现漏洞,然后想办法去解决。