Spring 和 Nacos 双双爆出安全漏洞！！

2024-08-16 17:01 由 Java技术栈发表于 #后端开发

大家好，我是R哥。

这两天看到 Spring 和 Nacos 官方双双发布了安全漏洞，Spring 爆出的是 DoS 拒绝服务漏洞，Nacos 爆出的是会造成任意文件读写漏洞，下面我会具体说明问题并提供解决办法。

Spring 发布的安全漏洞

Spring 发布的安全漏洞包括两个：

Spring 框架在处理 HTTP 请求时，当从 “If-Match” 或 “If-None-Match” 条件请求请求头解析 ETag 请求头时，很容易会受到 DoS 的攻击。

If-Match 和 If-None-Match 是 HTTP 协议中的条件请求头，用于在发送请求时对资源的状态进行控制，以避免数据不必要的更新，这两个请求头一般与 ETag 一起使用。

影响的 Spring 版本：

解决办法就是升级到最新安全版本：

如果不想升级版本，也可以加一个 Filter 过滤器，通过过滤器来限制每个 HTTP 请求解析 “If-Match” 或 “If-None-Match” 条件请求请求头的大小。

用户可以通过特制的 Spring 表达式语言（SpEL）表达式，造成 DoS 拒绝服务漏洞。

影响的 Spring 版本：

所以，修复上面那个 DoS 漏洞的 5.3.38 版本也已经不安全了，这个漏洞的解决办法就是升级到最新安全版本：Spring 5.3.9 或者 6.0+。

另外，尽量避免对用户提供的 SpEL 表达式进行求值运算，如果一定要求值，就需要在只读模式下使用 SimpleEvaluationContext 类进行处理。

所以，最终解决以上两个漏洞的 Spring 安全版本是：

现在都是 Spring Boot 框架了，建议检查 Spring 依赖并升级到安全的 Spring Boot 版本，基于 3.1.x 以下的版本都停止维护了，最好的办法是升级到 3.2.x 及以上的版本：

但是，R哥检查了下最新的 3.3.2 和 3.2.8 版本，它们还是上个月发布的，并未发布适配这两天发布的 Spring 6.1.12 安全版本，所以需要等待下一个版本。

有必要的自行替换 Spring Boot 中的 Spring 依赖吧，但需要注意兼容性问题。

Spring Boot 基础就不介绍了，推荐看这个实战项目：

https://github.com/javastacks/spring-boot-best-practice

Nacos 2.4.0 才发布不久，Nacos 2.4.1 又来了，这个版本主要是为了修复一个安全漏洞，另外也还增强了几个功能以及修复一些 bug。

这个漏洞主要是由于 Jraft 请求造成的，受影响的仅为 7848 端口，它一般是 Nacos 集群间使用 Raft 协议通信的端口，不会用于处理客户端的请求，该端口如果被外部请求，会导致任意文件被读写的安全漏洞。

解决办法：

此外，最新发布的 2.4.1 版本还优化了 derby ops 接口，默认限制了 derby 数据库可执行的 SQL 范围，降低了用户打开 derby ops 接口时的风险。

技术更新太快，咱们学习的速度永远跟不上更新的速度，但话又说回来，开源不易，既然用开源，就得接受开源的弊端和后果，至少开源技术的漏洞很快能被爆出来并被解决。

如今，Spring 和 Nacos 成为了 Java 技术栈的中坚力量，不管是工作需要，或者是跳槽面试，Spring 和 Nacos 都是必学的，它已成为了 Java 程序员必备的技术之一。

所以，大家有时间还是要多更新一些技能储备，不要沉迷在 CRUD 中，久而久之就会被淘汰了。

最后，如果你想系统学习 Spring Cloud + Nacos 如何构建微服务，建议报名R哥最新出品的《Spring Cloud Alibaba 微服务课程》，一次付费，后续都提供免费更新，永久学习。

好了，今天的分享就到这里了，后续R哥也会继续关注并分享更多的 Java 技术干货，关注公众号Java技术栈第一时间推送。

版权声明： 本文系公众号 "Java技术栈" 原创，转载、引用本文内容请注明出处，抄袭、洗稿一律投诉侵权，后果自负，并保留追究其法律责任的权利。

更多文章推荐：

1.Spring Boot 3.x 教程，太全了！

觉得不错，别忘了随手点赞+转发哦！