Log4j 未平，Spring高危漏洞又起，比Log4j更大。
Spring是Java EE編程領域的一個熱門開源框架，該框架在2002年創建，是為了解決企業級編程開發中的復雜性，業務邏輯層和其他各層的松耦合問題，因此它將面向接口的編程思想貫穿整個系統應用，實現敏捷開發的應用型框架。目前，Spring 框架已被包括科技巨頭公司在內的大量企業廣泛采用，還包括一些“無服務器”（serverless）服務提供商。
據外媒消息，Spring官方日前在github上更新了一條可能導致命令執行漏洞的修復代碼，該漏洞目前在互聯網中已被成功驗證。研究機構將該漏洞評價為高危級。對于應用JDK版本號為9及以上的企業，建議盡快開展Spring框架使用情況的排查與漏洞處置工作。
漏洞排查
一、如果業務系統項目以war包形式部署，按照如下步驟進行判斷：
1
解壓war包：將war文件的后綴修改成.zip ,解壓zip文件。
2
在解壓縮目錄下搜索是否存在 spring-beans-*.jar 格式的jar文件（例如spring-beans-5.3.16.jar）,如存在則說明業務系統使用了spring框架進行開發。
3
如果spring-beans-*.jar 文件不存在，則在解壓縮目錄下搜索CachedIntrospectionResuLts.class 文件是否存在，如存在則說明業務系統使用了Spring框架開發。
二、如果業務系統項目以jar包形式直接獨立運行，按照如下步驟進行判斷：
1.解壓jar包：將jar文件的后綴修改成.zip,解壓zip文件。
2.在解壓縮目錄下搜索是否存在spring-beans-*.jar 格式的jar文件（例如spring-beans-5.3.16.jar）,如存在則說明業務系統使用了spring框架進行開發。
3.如果spring-beans-*.jar 文件不存在，則在解壓縮目錄下搜索CachedIntrospectionResuLts.class 文件是否存在，如存在則說明業務系統使用了spring框架進行開發。
漏洞修復
目前，spring官方尚未正式發布漏洞補丁，安全專家建議采用以下二個臨時方案進行防護，并及時關注官方補丁發布情況。
1、WAF防護
在WAF等網絡防護設備上，根據實際部署業務的流量情況，實現對“class.*”“Class.*”“*.class.*”“*.Class.*”等字符串的規則過濾，并在部暑過濾規則后，對業務運行情況進行測試，避免產生額外影響。
2、臨時修復措施
需同時按以下兩個步驟進行漏澗的臨時修復:
I.在應用中全局搜索@InitBinder注解，看看方法體內是否調用dataBinder.setDisallowedFields方法，如果發現此代碼片段的引入，則在原來的黑名單中，添加{"class.*","Class. *","*. class.*", "*.Class.*"}。
II.在應用系統的項目包下新建以下全局類，并保證這個類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對項目進行重新編譯打包和功能驗證測試。并重新發布項目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}
參考鏈接：
https://github.com/spring-projects/spring-framework/commit/7f7fb58dd0dae86d22268a4b59ac7c72a6c22529
https://www.cyberkendra.com/2022/03/rce-0-day-exploit-found-in-spring-cloud.html
