如何解决Spring RCE漏洞（CVE-2022-22965)？

Question

该版本现已分配给CVE-2022-22965。除了下面的好答案之外，请查看Spring Framework RCE：早期发布，因为它是本期最可靠和最新的网站。

根据不同的来源，我们在使用Spring Core库时似乎遇到了严重的安全问题。

• https://securityboulevard.com/2022/03/new-html" target="_blank">spring4shell-zero-day-vulnerability-confirmed-what-it-is-and-how-to-be-prepared/

引用以上链接，我们有风险，如果：

• 您使用Spring应用程序（直到并包括版本5.3.17）您的应用程序运行在Java9
• 您使用名称=值对的表单绑定-不使用Spring更流行的JSON/XML消息转换
• 您不使用允许列表-OR-您没有阻止类、模块、类加载器等字段的拒绝列表

该链接建议了一些解决方案，但似乎不容易实现/可靠。我们应该怎么做才能以最简单、最可靠的方式解决这个问题？

Answer 1

注意：由于Tomcat中不存在漏洞，因此以后需要进行Spring升级

临时解决方法是将tomcat升级到10.0.20, 9.0.62和8.5.78

Spring参考

Answer 2

根据Spring Framework RCE：早期公告，升级到Spring Framework 5.3.18或5.2.20将修复RCE。

如果使用Spring Boot，Spring Boot 2.5.12和Spring Boot 2.6.6会修复该漏洞。

如果您无法更新：

您可以选择只升级Tomcat。Apache Tomcat团队发布了10.0.20, 9.0.62和8.5.78版本，所有这些版本都关闭了Tomcat方面的攻击向量。

如果您无法执行上述任何操作，RCE公告博客文章建议了一种解决方法：通过ControllerAdvice在WebDataBinder上设置禁用字段：

@ControllerAdvice
@Order(Ordered.LOWEST_PRECEDENCE)
public class BinderControllerAdvice {

    @InitBinder
    public void setAllowedFields(WebDataBinder dataBinder) {
         String[] denylist = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
         dataBinder.setDisallowedFields(denylist);
    }

}

如果控制器通过自己的InitBinder方法（覆盖全局设置）在本地设置disallowedFields，则此快速修复程序将不起作用。此外，更一般地说，如果使用其他REST框架，如Jersey，解决方法将不会产生效果（但是，尚未证明此类配置会受到影响）。