Spring 爆高危漏洞，官方已证实_spring-webmvc 5.3.24 漏洞-CSDN博客

继Springcloud 漏洞没几天，Spring 框架又报漏洞：

Spring 官方： https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

在这里插入图片描述

漏洞描述：

用户可以通过数据绑定的方式引发远程代码执行 (RCE) 攻击漏洞，触发的前提条件如下：
JDK 9+
Apache Tomcat（war 包部署形式）
Spring MVC/ Spring WebFlux 应用程序

总结:

JDK 9 或更高版本
Apache Tomcat 作为 Servlet 容器
打包为传统的 WAR（与 Spring Boot 可执行 jar 相比）
spring-webmvc 或 spring-webflux 依赖
Spring Framework 版本 5.3.0 到 5.3.17、5.2.0 到 5.2.19 以及更早的版本

以下内容摘自公众号: 架构师专栏

解决方案

初步解决方案:

当前 Spring.io 已经发布了 Spring Framework 5.3.18 和 5.2.20 版本，同时还带来了最新的依赖于 Spring Framework 5.3.18 的 Spring Boot 2.6.6 和 2.5.12 。因为如果你能升级到 Spring Framework 5.3.18 和 5.2.20，就不用以下的修复方案了。
如果不可以，Spring 官方建议通过 @ControllerAdvice 来设置 WebDataBinder 的 disallowedFields。

@ControllerAdvice
@Order(Ordered.LOWEST_PRECEDENCE)
public class BinderControllerAdvice {

@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
String[] denylist = new String[]{"class.*", "Class.*", "*.class.*", "*.Class.*"};
         dataBinder.setDisallowedFields(denylist);
    }

}

这个解决方案通常会有效，但也并不是 100% 可以阻止漏洞。因此为了更加保险一些，Spring.io 还建议应用程序可以扩展 RequestMappingHandlerAdapter，同时在所有其他初始化之后，在最后更新WebDataBinder。为了实现这一点，Spring Boot 应用程序可以声明一个 WebMvcRegistrations（Spring MVC）或 WebFluxRegistrations bean（Spring WebFlux）。
在Spring MVC中（在WebFlux中也类似）示例如下：

package car.app;

import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.autoconfigure.web.servlet.WebMvcRegistrations;
import org.springframework.context.annotation.Bean;
import org.springframework.web.bind.ServletRequestDataBinder;
import org.springframework.web.context.request.NativeWebRequest;
import org.springframework.web.method.annotation.InitBinderDataBinderFactory;
import org.springframework.web.method.support.InvocableHandlerMethod;
import org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter;
import org.springframework.web.servlet.mvc.method.annotation.ServletRequestDataBinderFactory;
@SpringBootApplication
public class MyApp {    
public static void main(String[] args) {        SpringApplication.run(CarApp.class, args);    
}
@Bean    
public WebMvcRegistrations mvcRegistrations() {        
return new WebMvcRegistrations() {
@Override            
public RequestMappingHandlerAdapter getRequestMappingHandlerAdapter() {
   return new ExtendedRequestMappingHandlerAdapter(); 
   }      
 };   
}    

private static class ExtendedRequestMappingHandlerAdapter extends RequestMappingHandlerAdapter {
@Override   
protected InitBinderDataBinderFactory createDataBinderFactory(List < InvocableHandlerMethod > methods) { return new ServletRequestDataBinderFactory(methods,getWebBindingInitializer()) {
@Override                
protected ServletRequestDataBinder createBinderInstance(Object target, String name,NativeWebRequest request) throws Exception {  
                  ServletRequestDataBinder binder = super.createBinderInstance(target, name, request);                    String[] fields = binder.getDisallowedFields();
                  List < String > fieldList = new ArrayList < > (fields != null ? Arrays.asList(fields) : Collections.emptyList());                    fieldList.addAll(Arrays.asList("class.*", "Class.*", "*.class.*", "*.Class.*"));                    binder.setDisallowedFields(fieldList.toArray(new String[] {}));                    return binder;                
      }            
    };        
  }    
 }
}

对于没有 Spring Boot 的 Spring MVC，应用程序可以从 @EnableWebMvc 切换到直接扩展 DelegatingWebMvcConfiguration，
如这个文档中
https://docs.spring.io/spring-framework/docs/current/reference/html/web.html#mvc-config-advanced-java
高级配置部分所述，然后重写 createRequestMappingHandlerAdapter 方法。