• Welcome to the world's largest Chinese hacker forum

    Welcome to the world's largest Chinese hacker forum, our forum registration is open! You can now register for technical communication with us, this is a free and open to the world of the BBS, we founded the purpose for the study of network security, please don't release business of black/grey, or on the BBS posts, to seek help hacker if violations, we will permanently frozen your IP and account, thank you for your cooperation. Hacker attack and defense cracking or network Security

    business please click here: Creation Security  From CNHACKTEAM

Spring framework暴露于0天漏洞


Recommended Posts

Spring Java Spring 0 day远程代码执行漏洞的PoC公布。

Spring

Spring framework是一个开源的J2EE应用程序框架。Spring解决了很多开发者在J2EE开发中遇到的常见问题,提供了IOC、AOP、Web MVC等强大的功能。Spring框架可以帮助软件开发者快速开发出具有企业特色的Java应用。之后,这些应用可以独立部署在服务器上,比如Apache Tomcat。Spring框架主要由七部分组成,分别是Spring Core、Spring AOP、Spring ORM、Spring DAO、Spring Context、Spring Web和Spring Web MVC。

Spring4Shell漏洞概述

3月29日,一名研究人员在Spring Core spring mvc中披露了一个0天安全漏洞——Spring4Shell,该漏洞的CVE号尚未公布。该漏洞是由传递的参数的不安全反序列化造成的,攻击者可以利用该漏洞在应用程序中实现远程代码执行。

该漏洞会影响Java 9及更高版本中运行的所有Spring应用程序,但利用该漏洞需要满足某些条件。CERT/CC漏洞分析研究人员表示,受影响的应用程序必须使用Spring Beans,Spring参数绑定必须配置为使用非基本参数类型,比如POJOs。安全公司Praetorian也证实,对该漏洞的利用依赖于特定的配置,例如终端必须启用DataBinder并依赖servlet容器。例如,如果Spring部署在Apache Tomcat上,并且可以访问WebAppClassLoader,攻击者就可以调用setters和getters将恶意JSP文件写入硬盘。但是,如果使用嵌入式Tomcat Servlet容器来部署Spring,那么classloder就是具有有限访问权限的LaunchedURLClassLoader。

Jang  twee

随后,一些研究人员公开了这个漏洞的PoC利用代码,看到https://archive.ph/DIbrv.的大量安全研究人员和安全公司已经证实了这个漏洞及其利用的广泛性。

到目前为止,这个漏洞还没有打补丁,建议使用Spring应用的管理员尽快采取适当的修复措施,比如禁止将特定的模式传递给Spring Core DataBinder函数。具体维修方法见:https://www.praetorian.com/blog/spring-core-jdk9-rce/。

Link to comment
Share on other sites