所以 Spring 的 0day RCE 漏洞被证实了？

[blindpirate]

https://github.com/craig/SpringCore0day

https://zhuanlan.zhihu.com/p/490747441

[eviladan0s]

漏洞的确存在，没 log4j2 影响大

[chendy]

修复补丁还没发，就把漏洞 poc 到处传播的人我觉得是真的缺德……

[git00ll]

试了一下 使用 springboot 似乎么有问题

[sagaxu]

三个条件
1. java 9+
2. tomcat + war 包
3. 实用了 mvc 或 webflux

能升 java 9+的，大概也不用 war 包部署了

[interim]

@sagaxu 如果按你所说的，感觉这个漏洞基本上没有利用价值....

[mrochcnnnnn]

集团已发邮件让重视

[yedanten]

@sagaxu 漏洞其实只要符合第一点就可以，tomcat 是改日志的配置项直接添加个规则写 shell 方便，是存在其他利用链的。

[INCerry]

war 包只是拿 shell 方便，感觉 jar 包也有其它方式拿 shell

[sagaxu]

@yedanten 没用 spring mvc 也行吗?

[yedanten]

@sagaxu 行，漏洞位于 spring framework 。

[sagaxu]

@yedanten 那也要有害的 payload 经过 spring 框架处理才行吧，如果请求都是 netty 处理的，spring 只做了 di ，也能利用上吗?