3月29日，Spring框架曝出RCE 0day漏洞。已經證實由于 SerializationUtils#deserialize 基于 Java 的序列化機制，可導致遠程代碼執行 (RCE)，使用JDK9及以上版本皆有可能受到影響。

相關監測發現該漏洞可能已被遠程攻擊者利用，廣東省網絡安全應急響應中心連夜發布預警通知，考慮到Spring框架的廣泛應用，FreeBuf對漏洞評級為：危險。

漏洞描述：

作為目前全球最受歡迎的Java輕量級開源框架，Spring允許開發人員專注于業務邏輯，簡化Java企業級應用的開發周期。

但在Spring框架的JDK9版本(及以上版本)中，遠程攻擊者可在滿足特定條件的基礎上，通過框架的參數綁定功能獲取AccessLogValve對象并諸如惡意字段值，從而觸發pipeline機制并 寫入任意路徑下的文件。

目前已知，觸發該漏洞需要滿足兩個基本條件：

• 使用JDK9及以上版本的Spring MVC框架
• Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class

漏洞影響范圍：

• JDK9 <= Spring Cloud Function
• 執行“java-version”命令可查看JDK版本

解決方案(臨時)：

目前Spring官方并沒有發布與此漏洞相關的補丁文件，相關漏洞POC也暫未被公開。考慮到自3月29日起已在小范圍傳播，鑒于Spring MVC的廣泛應用，各企業仍需警惕遠程攻擊者，并采用廣東省網絡安全應急響應中心公布臨時方案加強防護。FreeBuf將密切關注Spring官方的補丁發布情況。

臨時方案1：WAF臨時策略

在WAF等網絡防護設備上，根據實際部署業務的流量情況，實現對：

“class.*”，“Class.*”，“*.class.*”，“*.Class.*”

等字符串的規則過濾，并在部署過濾規則后，對業務允許情況進行測試，避免產生額外影響。

臨時方案2：臨時緩解措施

在應用系統的項目包下新建以下全局類，并保證這個類被Spring 加載到(推薦在Controller 所在的包中添加).完成類添加后，需對項目進行重新編譯打包和功能驗證測試。并重新發布項目。

import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;



@ControllerAdvice
@Order(10000)
public class a{
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] abd = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
dataBinder.setDisallowedFields(abd);
}
}