Spring Framework RCE CVE-2022-22965漏洞复现 1 漏洞简介 2 基础知识 21 SpringMVC参数绑定 22 JavaBean 221 JavaBean简介 222 Introspector内省 23 Spring Bean 231 BeanWrapperImpl 24 Tomcat AccessLogValve和access_log 3 原理分析 31 环境

摘要：Spring Framework爆出严重安全漏洞CVE-2022-22965，允许黑客进行任意命令执行。该漏洞存在条件为使用JDK9及以上版本、使用Apache Tomcat作为容器、使用了传统的WAR包部署方式、依赖了spring-wemvc以及springwebflux、Spring Framework版本为5.3.0到5.3.17，5.2.0到5.2.19以及其他老版本。黑客可以通过该漏洞构造恶意请求，获取AccessLogValue对象并注入恶意字段值，从而更改Tomcat服务器的日志记录属性触发pipeline机制写入任意路径下的文件，进而远程执行任意代码。使用Spring Framework的用户需要及时升级版本，以避免受到该漏洞的攻击。

关键字：Spring Framework，安全漏洞，任意命令执行，CVE-2022-22965，JDK9，Apache Tomcat，WAR包部署，AccessLogValue，恶意请求，日志记录属性，pipeline机制，任意代码执行，版本升级。