本文详细介绍了Spring Framework中存在的远程代码执行漏洞，该漏洞影响JDK 9及以上版本。攻击者可通过框架的参数绑定功能，利用AccessLogValve对象写入恶意代码，从而导致远程代码执行。文章深入分析了漏洞的触发条件、实现原理，以及与Struts2漏洞的异同。此外，文章还解释了绕过CVE-2010-1622修复的原因，并提供了具体的验证截图，为读者提供了对该漏洞的全面理解。

💥 漏洞触发条件：该漏洞主要存在于使用JDK 9及以上版本的Spring MVC框架中，且需要Spring框架及其衍生的spring-beans-*.jar文件，或存在CachedIntrospectionResults.class。

🔑 漏洞核心原理：攻击者利用Spring的对象绑定功能，通过构造特定的请求参数，获取AccessLogValve对象并注入恶意字段值，进而触发pipeline机制，最终实现任意文件写入。

🔍 漏洞绕过机制：在JDK 9之后，由于java.lang.Module的引入，其ClassLoader属性可以通过getClassLoader的getter方法访问，从而绕过了CVE-2010-1622的修复。

💡 漏洞利用关键：攻击者可以利用Spring框架的特性，通过请求参数修改POJO类（包括属性对应类的属性）的属性值，进而控制AccessLogValve类，实现恶意代码注入。

原创 p1ay2win 2022-04-01 10:49

3月29日，Spring Framework 存在远程代码执行漏洞，在 JDK 9 及以上版本环境下，远程攻

3月29日，Spring Framework 存在远程代码执行漏洞，在 JDK 9 及以上版本环境下，远程攻击者可利用该漏洞写入恶意代码导 致远程代码执行漏洞。

漏洞描述作为目前全球最受欢迎的Java轻量级开源框架，在Spring框架的JDK9版本（及以上版本）中，远程攻击者可在满足特定条件的基础上，通过框架的参数绑定功能获取AccessLogValve对象并诸如恶意字段值，从而触发pipeline机制并 写入任意路径下的文件。

目前已知，触发该漏洞需要满足两个基本条件：

使用JDK9及以上版本的Spring MVC框架Spring 框架以及衍生的框架spring-beans-*.jar 文件或者存在CachedIntrospectionResults.class影响范围

Spring Framework 5.3.X < 5.3.18

Spring Framework 5.2.X < 5.2.20

漏洞分析Spring中对象绑定是由org.springframework.beans.BeanWrapperImpl实现的。在参数绑定过程中，由其父类AbstractPropertyAccessor的setPropertyValues方法为请求中所有参数对应的bean对象属性赋值。

protected AbstractNestablePropertyAccessor getPropertyAccessorForPropertyPath(String propertyPath) {
 int pos = PropertyAccessorUtils.getFirstNestedPropertySeparatorIndex(propertyPath);
 // Handle nested properties recursively.
 if (pos > -1) {
  String nestedProperty = propertyPath.substring(0, pos);
  String nestedPath = propertyPath.substring(pos + 1);
  AbstractNestablePropertyAccessor nestedPa = getNestedPropertyAccessor(nestedProperty);
  return nestedPa.getPropertyAccessorForPropertyPath(nestedPath);
 }
 else {
  return this;
 }
}