据报道，这两个安全错误现在都在野外被利用
春季用户面临着一个新的零日漏洞，该漏洞是在同一周与较早的关键错误一起发现的。
第一个安全问题，CVE-2022-22963，是弹簧云功能中的SPEL表达式注入错误，NSFOCUS于3月28日披露，先前报道经过每日swbeplay2018官网ig。
第二个RCE错误，称为“ Spring4shell/Springshell”，已有现在也被发现在Spring Framework的基于Java的核心模块中。
讲中文的开发人员发布的利用代码对于弹簧框架中的零日漏洞（不要与春季云功能混淆）。尽管删除了利用代码的提交，但此操作可能为时已晚。
网络安全研究人员说，该密码曾经翻译过，似乎表明了未经身份验证的攻击者如何触发RCE在目标系统上。
Rapid7与他人一起，现在Spring.io本身，已经证实了零日脆弱性的存在。
虽然可能严重，但必须满足某些条件才能利用应用程序。
在弹簧框架版本4.3.0至5.3.15的测试中，Rapid7发现该错误似乎源于使用@requestmapping注释和POJO参数的功能。攻击者可以利用缺陷丢弃有效载荷并执行命令。
但是，到目前为止，漏洞似乎仅限于Tomcat服务器的构建 - 但随着情况的发展，情况可能会发生变化。包括Lunasec在内的多家网络安全公司说，运行Java Development套件（JDK）版本9和更新的用户可能容易受到攻击。
Rapid7补充说：“ Java版本确实很重要。”“存在概念证明利用，但目前尚不清楚哪些现实世界应用使用脆弱的功能。”
Lunasec正在运行Twitter线程具有技术更新。
紧急补丁进来
CVE尚未分配，但是春天已经承认该报告并宣布了周四通过Maven Central在春季框架版本中部署的紧急补丁和5.2.20。
开发人员说：“漏洞会影响JDK 9+上运行的Spring MVC和Spring WebFlux应用beplay体育能用吗程序。”“特定的利用要求将应用程序打包为战争并部署到Apache Tomcat。
“这确实意味着利用可用于带有嵌入式tomcat的弹簧靴。但是，脆弱性的性质更为笼统，可能还有其他方法可以利用它。”
Spring Boot的发布正在进行中，预计今天将着陆。
如果无法应用补丁，Praetorian建议通过创建新的弹簧组件ControllerAdvice来临时缓解，从而为否定者添加了特定的模式。可以在公司的博客文章。
Sonatype的Field CTO Ilkka Turunen评论说：“开源社区被称为'Springshell'的新的关键脆弱性尚未被证明与众所周知的Log4J漏洞一样危险。”
“但是，春季的广泛流行和执行这种攻击所需的低技能水平已正确引起了整个行业的警报。”
