近期創安攻防實驗室監測到Spring官方發布安全公告，披露了一個(gè)Spring框架可(kě)在JDK>=9版本下實現遠程代碼執行(xíng)的漏洞(CVE-2022-22965)。此漏洞影(yǐng)響範圍極廣，建議客戶盡快做(zuò)好自查工作(zuò)。

Spring官方目前已發布安全版本，建議用戶盡快更新至安全版本，下載鏈接如下

https://github.com/spring-projects/spring-framework

(一)WAF防護

在WAF等網絡防護設備上(shàng)，根據實際部署業務的流量情況，實現對class.*， Class.*，*.class.*，*.Class.* 等字符串的規則過濾，并在部署過濾規則後，對業務運行(xíng)情況進行(xíng)測試，避免産生(shēng)額外影(yǐng)響。

(二)臨時(shí)修複措施

需同時(shí)按以下兩個(gè)步驟進行(xíng)漏洞的臨時(shí)修複:

1、在應用中全局搜索@InitBinder注解，看看方法體(tǐ)內(nèi)是否調用dataBinder.setDisallowedFields方法，如果發現此代碼片段的引入,則在原來(lái)的黑(hēi)名單中，添加{"class.*","Class.*","*.class.*","*.Class.*"}。(注:如果此代碼片段使用較多(duō)，需要每個(gè)地方都追加)

2、在用系統的項目包下新建以下全局類，并保證這個(gè)類被Spring 加載到(推薦在Controller所在的包中添加)。完成類添加後，需對項目進行(xíng)重新編譯打包和(hé)功能驗證測試，并重新發布項目。