一、漏洞概述 2022年3月30日，Spring框架曝出RCE 0day漏洞，国家信息安全漏洞共享平台（CNVD）已收录了Spring框架远程命令执行漏洞（CNVD-2022-23942），考虑到Spring框架的广泛应用，漏洞被评级为危险。 二、影响版本 1、JDK9+2、Spring Framework 5.3.18+ 5.2.20+ 三、漏洞原理 通过
摘要：Spring在进行参数绑定时调用的 BeanWrapperImpl在进行JavaBean操作时触发了此漏洞。 本文分享自华为云社区《CVE-2022-22965 漏洞分析》，作者：Xuuuu。 CVE-2022-22965 A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code executio
原理大致是这样：spring框架在传参的时候会与当前POJO类自动参数绑定，通过“.”还可以访问当前类的引用类型变量。使用getClass方法，通过反射机制最终获取tomcat的日志配置成员属性，通过set方法，修改目录、内容等属性成员，达到任意文件写入的目的。 环境： jdk9、springmvc、tomcat8 一、先
