Spring Framework RCE CVE-2022-22965 的 WAF 缓解措施

漏洞

Spring Framework 是一个开源的轻量级 J2EE 应用开发框架，提供 IOC、AOP、MVC 等功能。Spring Framework 可以解决程序员在开发中遇到的常见问题，提高应用开发的便利性和软件系统的构建效率。

该漏洞影响在 JDK 9+ 上运行的 Spring MVC 和 Spring WebFlux 应用程序。特定的漏洞利用需要应用程序作为 WAR 部署在 Tomcat 上运行。如果应用程序部署为 Spring Boot 可执行 jar，即默认情况，则它不易受到攻击。

报告中特定场景的要求：

• JDK 9 或更高版本
• Apache Tomcat 作为 Servlet 容器
• 打包为传统的 WAR（与 Spring Boot 可执行 jar 相比）
• spring-webmvc 或 spring-webflux 依赖
• Spring Framework 版本 5.3.0 到 5.3.17、5.2.0 到 5.2.19 和旧版本

然而，该漏洞的性质更为普遍，可能还有其他尚未报道的利用方法。

漏洞详情：

• 漏洞等级： 高风险

• 受影响的版本：
  Spring Framework 5.3.x < 5.3.18
  Spring Framework 5.2.x < 5.2.20

• 安全版本：
  Spring Framework = 5.3.18
  Spring Framework = 5.2.20

建议的解决方法

将 Spring Framework 升级到 5.3.18、5.2.20 或更高版本。

CDNetworks 部署新规则以缓解 Spring Framework RCE

CDNetworks 安全团队第一时间响应这个高危漏洞，于 2022 年 3 月 31 日在 CDNetworks 的系统和产品中部署了新的 WAF 规则（9801, 9802, 9803）以缓解此零日 CVE。

当前正在使用的任何客户 Cloud Security(DDoS防护及Web应用防火墙) 或者 Web 应用防火墙 将接收新规则的更新 (9801,9802,9803) 并在 CDNetworks 的门户上启用块模式以检测 CVE-2022-22965 漏洞利用尝试。

参考： https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement