Spring 最新漏洞修复

Spring 最新漏洞修复

描述

Spring 社区 发布了一个最新的漏掉，如下：

漏洞描述：攻击者可以利用该漏洞，在未授权的情况下远程执行命令。

问题处理

1、影响范围

该漏洞的利用需要满足下面的条件：

• JDK 9 +
• 使用Apache Tomcat部署（Tomcat 10.0.19、9.0.61、8.5.78 和更早的版本已知易受攻击）
• 使用WAR方式打包
• 依赖 spring-webmvc 或 spring-webflux

即该漏洞影响在 JDK 9+ 上运行的 Spring MVC 和 Spring WebFlux 应用程序。具体的利用需要将应用程序打包并部署为 Servlet 容器上的传统 WAR。如果应用程序被部署为 Spring Boot 可执行 jar，即默认值，则它不易受到漏洞利用。但是，该漏洞的性质更为普遍，可能还有其他方法可以利用它~

2、解决方案

Sping官方有以下几种解决方案：

（1）Spring升级（首选）

• Spring 5.3.x 升级到5.3.18+ （含5.3.18，下面同理）
• Spring 5.2.x 升级到5.2.20+
• Spring Boot 2.6.x 升级到2.6.6+
• Spring Boot 2.5.x 升级到2.5.12+

（2）Tomcat 升级

• Tomcat 10 升级至Tomcat 10.0.20
• Tomcat 9 升级至Tomcat 9.0.62
• Tomcat 8 升级至Tomcat 8.5.78

（3）JDK降级 ，降级到JDK 8

（4）不允许一些操作，具体看 Disallowed Fields