设置
  • 日夜间
    随系统
    浅色
    深色
  • 主题色

蚂蚁集团上报 Spring 框架「高危」漏洞,现已修复

2022/4/2 18:33:55 来源:IT之家 作者:潇公子 责编:潇公子

IT之家 4 月 2 日消息,2022 年 3 月 30 日,国家信息安全漏洞共享平台(CNVD)收录了 Spring 框架远程命令执行漏洞(CNVD-2022-23942)。并发布了关于 Spring 框架存在远程命令执行漏洞的安全公告,安全公告编号:CNTA-2022-0009。

下面是公告内容:

2022 年 3 月 30 日,国家信息安全漏洞共享平台(CNVD)收录了 Spring 框架远程命令执行漏洞(CNVD-2022-23942)。攻击者利用该漏洞,可在未授权的情况下远程执行命令。目前,漏洞利用细节已大范围公开,Spring 官方已发布补丁修复该漏洞。CNVD 建议受影响的单位和用户立即更新至最新版本。

一、漏洞情况分析

Spring 框架(Framework)是一个开源的轻量级 J2EE 应用程序开发框架,提供了 IOC、AOP 及 MVC 等功能,解决了程序人员在开发中遇到的常见问题,提高了应用程序开发便捷度和软件系统构建效率。

2022 年 3 月 30 日,CNVD 平台接收到蚂蚁科技集团股份有限公司报送的 Spring 框架远程命令执行漏洞。由于 Spring 框架存在处理流程缺陷,攻击者可在远程条件下,实现对目标主机的后门文件写入和配置修改,继而通过后门文件访问获得目标主机权限。使用 Spring 框架或衍生框架构建网站等应用,且同时使用 JDK 版本在 9 及以上版本的,易受此漏洞攻击影响。

CNVD 对该漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响的产品版本包括:

版本低于 5.3.18 和 5.2.20 的 Spring 框架或其衍生框架构建的网站或应用。

三、漏洞处置建议

目前,Spring 官方已发布新版本完成漏洞修复,CNVD 建议受漏洞影响的产品(服务)厂商和信息系统运营者尽快进行自查,并及时升级至最新版本:

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

附:参考链接:

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

https://github.com/spring-projects/spring-framework/compare/v5.3.17...v5.3.18

广告声明:文内含有的对外跳转链接(包括不限于超链接、二维码、口令等形式),用于传递更多信息,节省甄选时间,结果仅供参考,IT之家所有文章均包含本声明。

相关文章

关键词:Spring漏洞蚂蚁集团

软媒旗下网站: IT之家 辣品 - 超值导购,优惠券 最会买 - 返利返现优惠券 iPhone之家 Win7之家 Win10之家 Win11之家

软媒旗下软件: 魔方 云日历 酷点桌面 Win7优化大师 Win10优化大师 软媒手机APP应用