开源应用框架Spring Framework存在远程代码执行漏洞（CVE-2022-22965）解决方案
监测发现，开源应用框架Spring Framework存在远程代码执行漏洞（CVE-2022-22965）。经分析研判，在JDK（Java开发工具包）9及以上版本环境中，或版本低于5.3.18和5.2.20的Spring框架及衍生框架构建的网站或应用中，攻击者可利用该漏洞执行远程命令，进而控制目标主机。目前，Spring官方已发布Spring Framework漏洞修复版本5.3.18和5.2.20（参考链接：https://github.com/spring-projects/spring-framework; https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement）。
具体漏洞及修复信息如下
一·漏洞影响排查方法 (一).JDK 版本号排查 在业务系统的运行服务器上，执行“java -version”命令查看运行的 JDK 版本，如果版本号小 于等于 8，则不受漏洞影响 (二).Spring 框架使用情况排查 1.如果业务系统项目以 war 包形式部署，按照如下步骤进行判断。 ⑴解压 war 包：将 war 文件的后缀修改成.zip ,解压 zip 文件 ⑵ 在 解 压 缩 目 录 下 搜 索 是 否 存 在 spring-beans-*.jar 格 式 的 jar 文 件 （ 例 如 spring-beans-5.3.16.jar）,如存在则说明业务系统使用了 spring 框架进行开发。 ⑶ 如 果 spring-beans-*.jar 文 件 不 存 在 ， 则 在 解 压 缩 目 录 下 搜 索 CachedIntrospectionResuLts.class 文件是否存在，如存在则说明业务系统使用了 Spring 框架 开发。 2.如果业务系统项目以 jar 包形式直接独立运行，按照如下步骤进行判断。 ⑴解压 jar 包：将 jar 文件的后缀修改成.zip,解压 zip 文件。 ⑵ 在 解 压 缩 目 录 下 搜 索 是 否 存 在 spring-beans-*.jar 格 式 的 jar 文 件 （ 例 如 spring-beans-5.3.16.jar）,如存在则说明业务系统使用了 spring 框架进行开发。 ⑶ 如 果 spring-beans-*.jar 文 件 不 存 在 ， 则 在 解 压 缩 目 录 下 搜 索 CachedIntrospectionResuLts.class 文件是否存在，如存在则说明业务系统使用了 spring 框架 进行开发。 (三).综合判断 在完成以上两个步骤排查后，同时满足以下两个条件可确定受此漏洞影响： ⑴JDK 版本号在 9 及以上的； ⑵使用了 spring 框架或衍生框架。 二·漏洞修复建议 目前，spring 官方无官方补丁，建议采用以下二个临时方案进行防护，并及时关注官方补丁 发布情况，按官方补丁修复漏洞。 （一）WAF 防护 在 WAF 等网络防护设备上，根据实际部署业务的流量情况，实现对“class.*”“Class.*” “*.class.*”“*.Class.*”等字符串的规则过滤，并在部暑过滤规则后，对业务运行情况进行 测试，避免产生额外影响。 (二)临时修复措施 需同时按以下两个步骤进行漏涧的临时修复: 1.在应用中全局搜索@InitBinder 注解，看看方法体内是否调用 dataBinder.setDisallowedFields 方法，如果发现此代码片段的引入，则在原来的黑名单中，添加{"class.*","Class. *","*. class.*", "*.Class.*"}。 (注:如果此代码片段使用较多,需要每个地方都追加) 2. 在应用系统的项目包下新建以下全局类，并保证这个类被 Spring 加载到(推荐在 Controller 所在的包中添加).完成类添加后，需对项目进行重新编译打包和功能验证测试。并重新发布 项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice；
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement
