CVE-2022-22965 Spring4Shell Spring Framework 数据绑定远程代码执行漏洞-讯岚社区

漏洞案例已知被利用 · CISA KEV

CVE-2022-22965

Spring4Shell Spring Framework 数据绑定远程代码执行漏洞

在满足特定部署条件的 Spring Web 应用中，数据绑定可被滥用修改类加载器属性并写入恶意文件，最终执行代码。

漏洞概览

CVE 编号: CVE-2022-22965
影响产品: Spring Framework Spring MVC 与 Spring WebFlux
漏洞类型: 远程代码执行
CWE 分类: CWE-94
CVE 公开日期: 2022-04-01
CVE 记录更新日期: 2025-10-21
资料核验日期: 2026-09-18
区域标签: 全球（Java 开发框架）

安全风险等级评估

9.8

严重 · CVSS 3.1评分来源：CISA-ADP / CVE 记录

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

影响范围与修复版本

产品或分支	受影响范围	历史修复边界或说明
Spring Framework	Spring Framework versions 5.3.X prior to 5.3.18+, 5.2.x prior to 5.2.20+ and all old and unsupported versions	按厂商产品与修复矩阵核对

漏洞详情

漏洞机制

Spring MVC/WebFlux 的数据绑定路径在特定运行环境中可能导致远程代码执行。漏洞涉及请求参数绑定与运行时对象访问边界，不是所有使用 Spring 的应用都具有相同可利用路径。

触发条件与权限边界

官方说明的特定利用路径需要 JDK 9+、Tomcat 和 WAR 部署。默认 Spring Boot 可执行 JAR 不受这一特定路径影响，但漏洞性质更一般，不能据此断言不存在其他利用方式。

场景与影响

风险与 JDK、Tomcat、WAR 部署方式和应用控制器写法共同相关，不能仅凭框架版本判断是否可利用。资产应按应用实际依赖和公开入口逐一验证。

检测与排查

资产、配置与日志核查

核对实际 Spring 依赖、JDK、Servlet 容器与打包方式，检查公开控制器的数据绑定配置；升级后验证应用加载的新依赖，并检查 Web 根目录和异常请求。

防范措施与修复验证

修复与缓解

升级 Spring Framework 和相关 Spring Boot 版本；按厂商指南禁用危险数据绑定字段；检查 Web 根目录、类文件和访问日志，使用 WAF 规则作为临时缓解。

修复后的验证

完成变更后，回读 Spring Framework Spring MVC 与 Spring WebFlux 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。

参考来源

CVE 官方记录CNA 描述、版本与评分依据 产品公告与技术资料tanzu.vmware.com 补充公告与技术资料tools.cisco.com NVD 漏洞条目补充分析与参考链接 CISA KEV 目录已知现实利用状态

英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END

漏洞案例