Spring爆出“核彈”級高危漏洞

回顧Spring框架的歷史，我們發(fā)現(xiàn)這并非首次被曝出重大漏洞。從Spring Security OAuth2到Spring Web Flow，再到Spring Data Rest和Spring Messaging，SpEL（Spring Expression Language）的引入無疑增加了安全風(fēng)險(xiǎn)。

攻擊者需要滿足的條件包括JDK 9+、Spring bean的存在以及已知的漏洞URL路由。雖然此漏洞具有核彈級的破壞力，但由于實(shí)現(xiàn)條件較為特殊，實(shí)際利用場景較少。這也解釋了為何在漏洞爆出后，實(shí)際利用情況不如Log4shell那么顯著。

在openjdk發(fā)布了預(yù)覽特性的JEP草。協(xié)程將通過虛擬線程實(shí)現(xiàn)高并發(fā)和高吞吐量，降低硬件成本。Log4j2核彈級漏洞：Log4j2曝出嚴(yán)重安全漏洞，引發(fā)廣泛關(guān)注。后續(xù)多個(gè)版本更新修復(fù)了多個(gè)漏洞，Log4j x版本已停止維護(hù)。Spring家族更新：Spring Boot更新至x版本。

【組件攻擊鏈】一文看懂Spring全家桶各類RCE漏洞

Spring全家桶中的RCE漏洞攻擊鏈主要涉及以下幾個(gè)關(guān)鍵點(diǎn)：核心組件與功能：Spring Framework：提供IOC、AOP等核心功能，是Spring全家桶的基礎(chǔ)。Spring Boot：簡化了Spring應(yīng)用的配置，內(nèi)置Tomcat等服務(wù)器，默認(rèn)XML配置。Spring Cloud：集成了分布式服務(wù)治理能力。Spring Security：負(fù)責(zé)權(quán)限管理。

Spring全家桶簡介涉及核心組件包括spring framework、springboot、spring cloud、spring curity、spring mvc。spring framework是所有內(nèi)容的基礎(chǔ)，提供ioc、aop等核心功能。spring mvc用于web開發(fā)，springboot簡化了配置，內(nèi)置了tomcat和默認(rèn)xml配置。

近日，攻擊者利用了開源與訪問管理ForgeRock中的遠(yuǎn)程代碼（RCE）漏洞（CVE-2021-35464），破壞了多個(gè)主機(jī)并部署了惡意。此漏洞源于ForgeRock訪問管理器中的不安全Java反序列化，導(dǎo)致攻擊者在當(dāng)前用戶的上下文中命令，而非作為root用戶。

SonarSource的研究人員發(fā)現(xiàn)，Compor的一個(gè)重要組件是PHP應(yīng)用程序的主要包管理器，其中包含一個(gè)可能被濫用來攻擊編碼存儲(chǔ)庫的漏洞。Packagist是易受攻擊的組件，它使Compor能夠確定和開發(fā)人員在其項(xiàng)目中包含的依賴項(xiàng)。Compor 每月提供大約 20 億個(gè)包。

**Pul Secure修復(fù)嚴(yán)重RCE漏洞**：在Pul Secure的Pul Connect Secure（PCS）VPN中，發(fā)現(xiàn)了一個(gè)針對嚴(yán)重遠(yuǎn)程代碼（RCE）的漏洞，可能允許未經(jīng)驗(yàn)證的遠(yuǎn)程攻擊者以具有root特權(quán)的用戶代碼。不過，該漏洞已被修復(fù)。

漏洞復(fù)現(xiàn)過程包含以下步驟：exp，注意選擇穩(wěn)定可靠的版本，避免使用存在已知問題的。在攻擊機(jī)上指令上傳一句話木馬，利用菜刀進(jìn)行連接驗(yàn)證，確認(rèn)木馬成功運(yùn)行。連接成功后，可進(jìn)一步分析aspx文件內(nèi)容，理解漏洞利用的細(xì)節(jié)。