Springboot远程代码执行漏洞复现(CVE-2022-22965)

Springboot远程代码执行漏洞复现(CVE-2022-22965)

本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！

漏洞描述

Spring framework 是Spring 里面的一个基础开源框架，其目的是用于简化 Java 企业级应用的开发难度和开发周期,2022年3月31日，VMware Tanzu发布漏洞报告，Spring Framework存在远程代码执行漏洞，在 JDK 9+ 上运行的 Spring MVC 或 Spring WebFlux 应用程序可能容易受到通过数据绑定的远程代码执行 (RCE) 的攻击。

漏洞影响

若满足如下两个条件则确定受到漏洞影响：

(1)使用JDK>=9

(2)Spring开发或衍生框架开发（存在spring-bean*.jar）

spring-framework < v5.3.18

spring-framework < v5.2.20.RELEASE

漏洞复现

该漏洞环境搭建调试过程比较坑，搭建过的人应该都感同身受吧。最简单的方式就是将漏洞代码通过打包成war，然后使用tomca环境部署，这里要注意Java版本必须要jdk9以上，否则怎么验证都没有漏洞！

这里为了方便使用vulhub上的环境进行复现

漏洞环境：vulhub

通过上传jsp文