3月29日，Spring框架曝出RCE 0day漏洞。已經(jīng)證實由于 SerializationUtils#deserialize 基于 Java 的序列化機制，可導(dǎo)致遠程代碼執(zhí)行 (RCE)，使用JDK9及以上版本皆有可能受到影響。

相關(guān)監(jiān)測發(fā)現(xiàn)該漏洞可能已被遠程攻擊者利用，廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心連夜發(fā)布預(yù)警通知，考慮到Spring框架的廣泛應(yīng)用，F(xiàn)reeBuf對漏洞評級為：危險。

漏洞描述：

作為目前全球最受歡迎的Java輕量級開源框架，Spring允許開發(fā)人員專注于業(yè)務(wù)邏輯，簡化Java企業(yè)級應(yīng)用的開發(fā)周期。

但在Spring框架的JDK9版本(及以上版本)中，遠程攻擊者可在滿足特定條件的基礎(chǔ)上，通過框架的參數(shù)綁定功能獲取AccessLogValve對象并諸如惡意字段值，從而觸發(fā)pipeline機制并 寫入任意路徑下的文件。

目前已知，觸發(fā)該漏洞需要滿足兩個基本條件：

• 使用JDK9及以上版本的Spring MVC框架
• Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class

漏洞影響范圍：

• JDK9 <= Spring Cloud Function
• 執(zhí)行“java-version”命令可查看JDK版本

解決方案(臨時)：

目前Spring官方并沒有發(fā)布與此漏洞相關(guān)的補丁文件，相關(guān)漏洞POC也暫未被公開?？紤]到自3月29日起已在小范圍傳播，鑒于Spring MVC的廣泛應(yīng)用，各企業(yè)仍需警惕遠程攻擊者，并采用廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心公布臨時方案加強防護。FreeBuf將密切關(guān)注Spring官方的補丁發(fā)布情況。

臨時方案1：WAF臨時策略

在WAF等網(wǎng)絡(luò)防護設(shè)備上，根據(jù)實際部署業(yè)務(wù)的流量情況，實現(xiàn)對：

“class.*”，“Class.*”，“*.class.*”，“*.Class.*”

等字符串的規(guī)則過濾，并在部署過濾規(guī)則后，對業(yè)務(wù)允許情況進行測試，避免產(chǎn)生額外影響。

臨時方案2：臨時緩解措施

在應(yīng)用系統(tǒng)的項目包下新建以下全局類，并保證這個類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對項目進行重新編譯打包和功能驗證測試。并重新發(fā)布項目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;



@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}