Spring Framework 遠程代碼執行漏洞風險通告

尊敬的主題雲用户：

您好！Spring官方發佈安全公告，披露Spring Framework存在缺陷，導致運行在JDK 9及以上版本的環境上存在一處遠程代碼執行漏洞（CVE-2022-22965），該漏洞可導致遠程寫入、執行任意代碼。

【漏洞評級】

高風險

【漏洞描述】

CVE-2022-22965

據官方説明，目前已被泄漏的漏洞利用主要影響在 JDK 9+ 上運行的 Spring MVC 和 Spring WebFlux 應用程序。漏洞的成功利用需要應用程序作為 WAR 部署在 Tomcat 上運行。

【影響範圍】

影響版本：

Spring Framework 5.3.x < 5.3.18

Spring Framework 5.2.x < 5.2.20

並且使用了JDK版本 >= 9

（其他Spring Framework低版本均有可能受影響）

【修復方案】

目前官方已發佈安全版本，建議受影響的用户升級Spring Framework至安全版本：

https://github.com/spring-projects/spring-framework/tags

【參考鏈接】

https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

https://tanzu.vmware.com/security/cve-2022-22965