Spring 再曝核弹级rce漏洞 ！可能比log4j更严重！（附：排查方法及临时缓解措施）
继上次因为Log4j2系列漏洞的公开，国内外企业纷纷展开修复工作，其影响面之大，可以说覆盖了各行各业，消息一出，当晚各公司程序员、安全从业者纷纷熬夜奋战，然而上个漏洞有些公司可能都还没修复完，今天又爆出一影响面极大的漏洞 Spring Core RCE 。
下图为传遍安全圈的某大佬复现截图：
还有来自于国内外社交媒体的安全人员分享：
一、利用条件：（同时满足以下条件）
1、JDK 9.0 +
2、使用了Spring框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class
二、排查方法
（一）如果业务系统项目以war包形式部署，按照如下步骤进行判断:
三、临时缓解措施：
（一）安全设备层面
（二）代码层面（转自归零安全）
1.在应用中全局搜索@InitBinder注解，看看方法体内是否调用dataBinder.setDisallowedFields方法，如果发现此代码片段的引入，则在原来的黑名单中，添加{"class.","Class. ",". class.", ".Class."}。(注:如果此代码片段使用较多,需要每个地方都追加)
2. 在应用系统的项目包下新建以下全局类，并保证这个类被Spring 加载到(推荐在Controller 所在的包中添加).完成类添加后，需对项目进行重新编译打包和功能验证测试。并重新发布项目。
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;
@ControllerAdvice
@Order(10000)
public class GlobalControllerAdvice{
@InitBinder
public void setAllowedFields(webdataBinder dataBinder){
String[]abd=new string[]{"class.","Class.",".class.",".Class."};
dataBinder.setDisallowedFields(abd);
}
}
四、漏洞修复建议：
目前，暂无官方补丁，静待官方发布补丁。
五、安全提醒：
漏洞曝出后，有一些安全人员迫不及待的想要poc，exp， 有些不法分子就利用这一心理进exp行钓鱼。
昨天有人在群里发了一个Spring core RCE漏洞的EXP，链接如下：
https://github.com/shakeman8/Spring-Core-RCE
经过分析此为钓鱼exe。
此程序会读取浏览器保存的用户名、密码和对应URL、然后在C:\Users\Public下创建一个tmp文件，下次再执行，就不会上传(应该是判断这个tmp文件是否存在吧)，删除tmp文件后再执行可以复现。
至于回连域名ip我就不放出来了。
运行过此程序的请尽快改密码，请大家转发，警惕钓鱼。
在官方发布补丁前，大家一定要警惕这些所谓的exp、poc等，主要是exe程序的，谨防钓鱼。