V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
yazinnnn
V2EX  ›  Java

cve-2022-22965(spring core rce 漏洞)造成的影响可能没有想象中大?

  •  
  •   yazinnnn · 2022-04-01 10:24:33 +08:00 · 2839 次点击
    这是一个创建于 968 天前的主题,其中的信息可能已经有所发展或是发生改变。

    https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

    https://tanzu.vmware.com/security/cve-2022-22965

    Vulnerability The vulnerability impacts Spring MVC and Spring WebFlux applications running on JDK 9+. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it.

    Am I Impacted? These are the requirements for the specific scenario from the report:

    JDK 9 or higher Apache Tomcat as the Servlet container Packaged as a traditional WAR (in contrast to a Spring Boot executable jar) spring-webmvc or spring-webflux dependency Spring Framework versions 5.3.0 to 5.3.17, 5.2.0 to 5.2.19, and older versions However, the nature of the vulnerability is more general, and there may be other ways to exploit it that have not been reported yet.


    需要打包成 war + jdk9+版本才会触发漏洞

    新项目一般都是 jar 打包,老项目一般不用 jdk9+,是不是这个道理?

    9 条回复    2022-04-01 16:01:19 +08:00
    XhstormR02
        1
    XhstormR02  
       2022-04-01 10:31:38 +08:00 via Android
    right 新架构都是 jar 包跑了 老架构还在用 jdk8 笑死
    XhstormR02
        2
    XhstormR02  
       2022-04-01 10:32:07 +08:00 via Android
    但是不排除有其他利用方式 除了 tomcat
    annt123
        3
    annt123  
       2022-04-01 10:35:03 +08:00   ❤️ 1
    通杀的 POC 没放出来
    Phoa
        4
    Phoa  
       2022-04-01 10:38:11 +08:00
    雷声大雨点小
    chendy
        5
    chendy  
       2022-04-01 10:40:47 +08:00
    总有人想搞个大新闻
    dbpe
        6
    dbpe  
       2022-04-01 11:28:13 +08:00
    @annt123 spring 通杀?
    lanyi96
        7
    lanyi96  
       2022-04-01 14:30:14 +08:00
    不是,太片面了。jar 打包的只是无法写入 webshell,不代表没有其他方法 getshell 。
    yedanten
        8
    yedanten  
       2022-04-01 15:42:04 +08:00 via Android
    jre9+这一个条件就注定了没多大波及面
    v2orz
        9
    v2orz  
       2022-04-01 16:01:19 +08:00
    tomcat war 只是比较容易 getshell ,别的应该也可以
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2968 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 13:05 · PVG 21:05 · LAX 05:05 · JFK 08:05
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.