Spring Framework CVE-2022-22965漏洞详细分析

最新推荐文章于 2025-09-25 10:22:37 发布

原创

最新推荐文章于 2025-09-25 10:22:37 发布 · 2.2k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #安全

本文详细分析了Spring Framework的CVE-2022-22965漏洞，涉及漏洞利用条件，包括JDK 9+，Spring框架特定版本等。漏洞利用主要通过POJO参数绑定，利用API Introspector.getBeanInfo获取敏感属性。在JDK 9+中，利用模块化系统绕过Class类的classLoader黑名单。修复方案是更新到Spring Framework的v5.3.18和v5.2.20版本。

一. 漏洞利用条件

jdk9+

Spring 及其衍生框架

使用tomcat部署spring项目

使用了POJO参数绑定

Spring Framework 5.3.X < 5.3.18 、2.X < 5.2.20 或者其他版本

二. 漏洞分析

一开始复现这个漏洞的时候，听其他师傅说是一个老漏洞CVE-2010-1266的绕过，之前也没调试过这个漏洞，看了些分析文章后，大概明白是对Spring中的bean的漏洞利用，通过API Introspector. getBeanInfo 可以获取到POJO的基类Object.class的属性class,进一步可以获取到Class.class的其他属性，其中就包括了classloader，再利用获取到的属性构造利用链，这次爆出来的漏洞既然是绕过，那么原理应该也差不多，首先先搭建环境，构造一个简单的POJO：

public class User {private String name;public String getName() {return name;}public void setName(String name) {this.name = name;}}

再写个简单的controller：

@RequestMapping("/test")public String test(User user){System.out.println(user.getName());return “hello spring-mvc”;}

发送get请求：http://localhost:8080/test?name=test 即可完成一次简单的数据绑定。

【相关技术资料】
1、网络安全学习路线
2、电子书籍（白帽子）
3、安全大厂内部视频
4、100份src文档
5、常见安全面试题
6、ctf大赛经典题目解析
7、全套工具包
8、应急响应笔记

在开始调试分析之前，首先需要对spring的数据绑定体系机构有个简单的了解，其中涉及到一个关键类org.springframework.validation.DataBinder类，DataBinder类实现了TypeConverter和PropertyEditorRegistry接口，作用主要是把字符串形式的参数转换成服务端真正需要的类型的转换，同时还有校验功能，其中有如下这些属性：

@Nullableprivate final Object target;//需要数据绑定的对象private final String objectName;//给对象起得名字默认target@Nullableprivate AbstractPropertyBindingResult bindingResult;//数据绑定后的结果@Nullableprivate SimpleTypeConverter typeConverter;//当target!=null时不会用到private boolean ignoreUnknownFields = true;//忽略target不存在的属性，作用于PropertyAccessor的setPropertyValues()方法private boolean ignoreInvalidFields = false;//忽略target不能访问的属性private boolean autoGrowNestedPaths = true;//当嵌套属性为空时，是否可以实例化该属性private int autoGrowCollectionLimit = DEFAULT_AUTO_GROW_COLLECTION_LIMIT;//对于集合类型容量的最大值@Nullableprivate String[] allowedFields;//允许数据绑定的资源@Nullableprivate String[] disallowedFields;//不允许的@Nullableprivate String[] requiredFields;//数据绑定必须存在的字段@Nullableprivate ConversionService conversionService;//为getPropertyAccessor().setConversionService(conversionService);@Nullableprivate MessageCodesResolver messageCodesResolver;//同bindingResult的private BindingErrorProcessor bindingEr