2016年7月7日，唐朝实验室在乌云上提交Spring Boot框架存在SPEL表达式注入通用漏洞，缺陷编号为 WooYun-2016-226888 ，威胁等级为【高】，攻击者可以远程代码执行。
- 2016年7月8日，向通报机构公开。
- 2016年7月11日，绿盟科技获取相关细节。
- 2016年7月12日，绿盟科技针对此漏洞启动中级应急响应。预计会在2016年7月14日提供完整的技术分析，产品升级和防护方案。
什么是spring？
Spring是一个开源框架，它由 Rod Johnson 为了解决企业应用开发的复杂性而创建的，使用基本的JavaBean来完成以前只可能由EJB完成的事情。然而，Spring的用途不仅限于服务器端的开发。
- 目的：解决企业应用开发的复杂性。
- 功能：使用基本的JavaBean代替EJB，并提供了更多的企业应用功能。
- 范围：任何Java应用。
Spring是一个轻量级控制反转(IoC)和面向切面(AOP)的容器框架。
Spring的一个最大的目的就是使J2EE开发更加容易。同时，Spring之所以与Struts、Hibernate等单层框架不同，是因为Spring致力于提供一个以统一的、高效的方式构造整个应用，并且可以将单层框架以最佳的组合揉和在一起建立一个连贯的体系。可以说Spring是一个提供了更完善开发环境的一个框架，可以为POJO(Plain Old Java Object)对象提供企业级的服务。
绿盟科技威胁预警级别
中级：影响范围可控，危害程度可控，利用难度较高，7*8小时内部应急跟踪，72小时内完成技术分析、产品升级和防护方案。
影响的版本
- 目前所有版本
不受影响的版本
无
修复方法
官方正在尽力修复，请密切关注官方新版本的发布。
绿盟科技 安全团队会持续关注事态变化，后续会发布详细的分析报告、产品升级及解决方案，请广大用户随时关注。
绿盟科技威胁事件定级标准
|
级别 |
描述 |
|
高 |
影响范围比较广，危害严重，利用难度较低，7*24小时内部应急跟踪，24小时内完成技术分析、产品升级和防护方案。 |
|
中 |
影响范围可控，危害程度可控，利用难度较高，7*8小时内部应急跟踪，72小时内完成技术分析、产品升级和防护方案。 |
|
低 |
影响较小，危害程度较小。 |
声 明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
绿盟科技（NSFOCUS Co., Ltd.）是中国网络安全领域的领导企业，致力于网络和系统安全问题的研究、高端网络安全产品的研发、销售与网络安全服务，在入侵检测/保护、远程评估、 DDoS攻击防护等方面提供具有国际竞争能力的先进产品，是国内最具安全服务经验的专业公司。有关绿盟科技的详情请参见： http://www.nsfocus.com
绿盟科技已经启动Spring Boot框架漏洞的应急响应的相关文章请参看