Spring RCE 0day漏洞到底是真是假？

哈喽，大家好，我是指北君。

不知道昨晚大家有没有看到Spring框架曝出RCE 0day漏洞，是填上次漏洞的天坑？
还是逃过了上一劫，却遇到了这一劫呢？天道好轮回,苍天饶过谁?

漏洞

在Spring框架的JDK9版本（及以上版本）中，远程攻击者可在满足特定条件的基础上，
通过框架的参数绑定功能获取AccessLogValve对象并注入恶意字段值，从而触发pipeline机制并 写入任意路径下的文件。

指北君在网上给大家找了个有鼻子有眼的文章，阅读量还不少。

指北君今天也尝试去找了相关的发布源头，既没有找到所谓的“广东省网络安全应急响应平台”，
也没有找到各种相关文章所提到的具体发布地址。

同时也看到一些说复现的文章和截图，真真假假，假假真真。

如果真是这样，我看到的这个段子，将不是段子。

这将是史诗级打脸现场。

当然了指北君下面也给出改漏洞的排查方法不怕一万就怕万一，总要提前了解一下。

排查方法

JDK9及以上

项目中使用了spring-beans*.jar 或 存在CachedIntrospectionResults.class文件

解决方案

目前Spring还没有具体的解决方案，目前可以采用以下两种临时方案进行防护。

1. WAF等防护系统上添加过滤规则
   对 “class.”，“Class.”，“.class.”，“.Class.” 等字符串进行过滤，同时可能产生额外影响。
   如果有多个项目存在安全隐患采用这个方法，较为便捷。
2. 在单个项目下添加规则限制

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;

@Order
@ControllerAdvice
public class SpringRCE0Day{

    @InitBinder
    public void setAllowedFields(WebDataBinder dataBinder) {
        String[] fields= new String[]{"class.*",
                    "Class.*", "*.class.*", "*.Class.*"};
        dataBinder.setDisallowedFields(fields);
    }
}

如果说就涉及及个别项目这种方式影响会更小一点。改动后记得重新发布呦。

影响范围

指北君在自己项目搜索了一下。

只要使用了Spring框架，谁能逃得掉第二点呢？只能庆幸自己没有使用JDK9了吧？
整个Spring都是围绕着这个spring-beans*.jar的。

而整个Java估计90%都是围绕Spring的吧。

那影响范围还不如直接定义为，使用JDK9及以上版本的项目。
可以看出如果真的有问题影响面还是非常大的。

后续

我们去GitHub上看看是否有相关的问题。

确实有人已经说了这个问题但是目前官方没有给出明确答案。

然后指北君又找到了这个。

恰巧在出问题的时间，sbrannen提交了一个SerializationUtils相关的代码合并，
然后一度被人认为是官方偷偷修改了bug，但是你好好看下代码就会发现，其实就是把一个返回值封装成了一个clone方法，

最后 sbrannen也表示Spring并没有使用 SerializationUtils 去反序列化一个不受信任的对象。

直到指北君看到了这个，才觉得这个漏洞真实了几分。

由于涉及安全的东西我就不放太多料了。感兴趣的朋友可以跟一下。

目前官方还没有给出明确答复和修复方案。

Spring 最近爆出的另外两个漏洞

SpEL导致的Spring&Spring Cloud Function的漏洞，已经公布了修复方案直接升级版本即可。

指北君有话说

好了今天就到这里吧，我要亲自去试一下。 真的情况多一点，真的假不了，假的真不了，希望各位还是做好充足准备。
反正指北君代码已经加上了，等待公司通知。

在上海的小伙伴最近注意个人防护，最近上海疫情看起来还是挺吓人的。准备好充足的食物。祝大家平安无事。

关注开源指北公众号，后台回复888获取相关资料。

这里是开源指北，我们立志做最好的开源分享平台，分享各种有趣实用的开源项目。

同时也欢迎加入开源指北交流群，欢迎加入交流群，群里你可以摸鱼、划水、吐槽、咨询，
还有简历模板、各种技术面试资料等100G的资源等着你领取哦。快来一起来聊一聊吧！

以上就是本次推荐的全部内容，我是指北君，感谢各位的观看。