Thymeleaf-Spring5 代码注入漏洞修复

core321

已于 2024-10-08 17:03:11 修改

阅读量620

点赞数 4

分类专栏：实战 SpringBoot 文章标签： Thymeleaf spring 代码注入漏洞修复

于 2024-10-08 16:59:22 首次发布

本文链接：https://blog.csdn.net/taotao_guiwang/article/details/142763632

版权

55 篇文章

订阅专栏

8 篇文章

订阅专栏

以“Thymeleaf-Spring5 代码注入漏洞修复”为例，介绍一下怎么使用补丁修复漏洞

1.漏洞

GAV坐标：
org.thymeleaf:thymeleaf-spring4:3.0.9.RELEASE,org.thymeleaf:thymeleaf:3.0.9.RELEASE
CVE编号：
CVE-2021-43466
漏洞描述：
Thymeleaf-Spring5是Thymeleaf团队的一个适用于 Web 和独立环境的开源现代服务器端 Java 模板引擎。 Thymeleaf-Spring5 存在安全漏洞，该漏洞源于外部输入数据构造可执行命令过程中，网络系统或产品未正确过滤其中的特殊元素。攻击者可利用该漏洞执行非法命令。
漏洞类型：
代码注入
扫描工具给的解决方案：
升级版本：thymeleaf-spring5-3.0.14.RELEASE;
相关commit：https://github.com/thymeleaf/thymeleaf-spring/commit/d75834ca34f4a8dca3ee626c9ce22060e90427bc;
漏洞补丁：https://github.com/thymeleaf/thymeleaf-spring/commit/d75834ca34f4a8dca3ee626c9ce22060e90427bc;

根据上面的说明，发现的版本是：thymeleaf-spring4:3.0.9.RELEASE。给的解决方案升级到：thymeleaf-spring5-3.0.14.RELEASE。
这个方案明显是不行的，从spring4到spring5是大版本升级，涉及的代码改动会比较多。
那看看漏洞补丁，打开github是这样的，如下图所示：
看到的是满屏的代码。难道需要重新编译代码，替换jar？其实不是的。这个是这样的步骤，首先由于发现漏洞的版本是Spring4，所以看左侧关于Spring4部分的ChangeLog.txt。
是不是很熟悉，CVE-2021-43466，正是咱们的漏洞。到这里，就能发现Spring4有对应的修复漏洞的小版本。thymeleaf-spring4-3.0.13.RELEASE。然后咱们到mvn找到≥thymeleaf-spring4-3.0.13版本，替换一下jar即可。
MVN仓库访问地址：https://mvnrepository.com/