机窝安全--规则描述--Spring Framework远程代码执行漏洞

【页面双击滚屏】

作者:yunzui

id	sid	标题	BUGTRAQ ID	CVE ID	应用类型

漏洞描述	Spring Framework 是一个 Java/Java EE/.NET 的分层应用程序框架.该漏洞由于JDK 9 + 中新添加的函数绕过了Spring CachedIntrospectionResults 对ClassLoader获取的限制，导致可以获取到任意ClassLoader，攻击者可以通过发送精心构造的数据请求来注入恶意属性触发漏洞，导致远程代码执行的漏洞风险。
攻击范围	Spring Framework 5.3.X < 5.3.18 Spring Framework 5.2.X < 5.2.20 受影响条件（需同时满足）： - JDK 9 及以上版本 - Apache Tomcat 作为 Servlet 容器 - Spring 框架以及衍生的框架
解决方法	针对该漏洞Spring以及 Tomcat都做出了修复。 Spring： Class类仅可以获取name相关的值了，而且对没有写操作权限的ClassLoader以及ProtectionDomain做了限制。 Tomcat：tomcat则是直接把getResources返回为空。官方补丁 https://github.com/spring-projects/spring-framework/commit/afbff391d8299034cd98af968981504b6ca7b38c
其它资料	请访问[jiwo.org]寻求解决方案。
备注