3月29日，Spring框架曝出RCE 0day漏洞。已經(jīng)證實(shí)由于 SerializationUtils#deserialize 基于 Java 的序列化機(jī)制，可導(dǎo)致遠(yuǎn)程代碼執(zhí)行 (RCE)，使用JDK9及以上版本皆有可能受到影響。

相關(guān)監(jiān)測(cè)發(fā)現(xiàn)該漏洞可能已被遠(yuǎn)程攻擊者利用，廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心連夜發(fā)布預(yù)警通知，考慮到Spring框架的廣泛應(yīng)用，F(xiàn)reeBuf對(duì)漏洞評(píng)級(jí)為：危險(xiǎn)。

漏洞描述：

作為目前全球最受歡迎的Java輕量級(jí)開源框架，Spring允許開發(fā)人員專注于業(yè)務(wù)邏輯，簡(jiǎn)化Java企業(yè)級(jí)應(yīng)用的開發(fā)周期。

但在Spring框架的JDK9版本(及以上版本)中，遠(yuǎn)程攻擊者可在滿足特定條件的基礎(chǔ)上，通過框架的參數(shù)綁定功能獲取AccessLogValve對(duì)象并諸如惡意字段值，從而觸發(fā)pipeline機(jī)制并 寫入任意路徑下的文件。

目前已知，觸發(fā)該漏洞需要滿足兩個(gè)基本條件：

• 使用JDK9及以上版本的Spring MVC框架
• Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class

漏洞影響范圍：

• JDK9 <= Spring Cloud Function
• 執(zhí)行“java-version”命令可查看JDK版本

解決方案(臨時(shí))：

目前Spring官方并沒有發(fā)布與此漏洞相關(guān)的補(bǔ)丁文件，相關(guān)漏洞POC也暫未被公開。考慮到自3月29日起已在小范圍傳播，鑒于Spring MVC的廣泛應(yīng)用，各企業(yè)仍需警惕遠(yuǎn)程攻擊者，并采用廣東省網(wǎng)絡(luò)安全應(yīng)急響應(yīng)中心公布臨時(shí)方案加強(qiáng)防護(hù)。FreeBuf將密切關(guān)注Spring官方的補(bǔ)丁發(fā)布情況。

臨時(shí)方案1：WAF臨時(shí)策略

在WAF等網(wǎng)絡(luò)防護(hù)設(shè)備上，根據(jù)實(shí)際部署業(yè)務(wù)的流量情況，實(shí)現(xiàn)對(duì)：

“class.*”，“Class.*”，“*.class.*”，“*.Class.*”

等字符串的規(guī)則過濾，并在部署過濾規(guī)則后，對(duì)業(yè)務(wù)允許情況進(jìn)行測(cè)試，避免產(chǎn)生額外影響。

臨時(shí)方案2：臨時(shí)緩解措施

在應(yīng)用系統(tǒng)的項(xiàng)目包下新建以下全局類，并保證這個(gè)類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對(duì)項(xiàng)目進(jìn)行重新編譯打包和功能驗(yàn)證測(cè)試。并重新發(fā)布項(xiàng)目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;



@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}