1. 问题引入一个看似无害的URL如何成为攻击的跳板最近在给一个线上Spring Boot项目做安全扫描和版本升级时安全团队发来一份报告里面赫然列着一个中危漏洞CVE-2024-22243。报告描述很简洁说是Spring Framework在处理特定格式的URL时存在解析不当的问题可能导致安全绕过或服务端请求伪造SSRF风险。说实话第一眼看到这个CVE编号和“URL解析不当”的描述我心里咯噔一下。因为URL处理是Web应用的基石从路由分发、参数解析到重定向跳转几乎无处不在。一旦这个底层环节出问题影响面可能非常广而且修复起来往往不像修一个业务逻辑Bug那么简单它涉及到框架核心行为的调整。这个漏洞的触发条件与URL中的分号;有关。在RFC标准中分号在URL的路径部分被视为合法字符通常用于携带参数称为“路径参数”或“矩阵参数”例如/products/123;colorred。Spring Framework长期以来都支持解析这种路径参数。然而问题出在当URL路径中包含编码后的分号即%3B或%3b时框架在某些场景下的处理逻辑出现了不一致。攻击者可能构造一个包含%3B的恶意URL利用这种解析差异绕过某些基于路径的权限校验、路由匹配规则或者诱导应用向内部网络发起非预期的请求。举个例子假设你的应用有一个权限校验过滤器它检查请求路径是否以/admin开头。如果攻击者请求/admin%3B/../secret在某些特定的容器和Spring版本组合下这个URL可能被“规范化”或解析成/admin/../secret最终等价于/secret从而绕过了/admin路径的校验直接访问到了本应受保护的资源。这就是典型的“解析不当”导致的安全边界模糊。为什么这个问题值得每个Spring Boot开发者警惕因为Spring Boot自动配置了大量Web基础设施包括内嵌的Tomcat、Jetty或Undertow服务器以及Spring MVC的各类组件。这个漏洞的根因在Spring Framework的UrlPathHelper和AntPathMatcher等工具类中它们被广泛用于RequestMapping、拦截器Interceptor、过滤器Filter的路径匹配。如果你的项目使用了这些功能几乎百分之百会用到那么就可能受到潜在影响。接下来我们就深入这个漏洞的细节看看如何定位、修复并验证它。2. CVE-2024-22243漏洞深度剖析分号编码引发的“歧义”要有效修复一个漏洞首先得弄清楚它到底是怎么回事。CVE-2024-22243不是一个能直接远程执行代码的“核弹级”漏洞但它属于那种“蚁穴溃堤”式的风险点——通过精心构造的输入扰动系统原本确定性的行为从而找到逻辑缺陷的突破口。2.1 漏洞的核心路径参数解析的编码问题Spring MVC 为了处理 RESTful 风格的 URL提供了对路径参数Path Parameters的支持。比如你可以定义这样一个控制器GetMapping(/users/{userId}/docs/{docId}) public String getDoc(PathVariable String userId, PathVariable String docId, MatrixVariable MapString, String matrixVars) { // ... }对于请求/users/123;typepdf/docs/456Spring 会正确地将123绑定到userId将456绑定到docId并将typepdf作为矩阵参数放入matrixVars中。这里的;typepdf就是附着在userId这个路径变量上的路径参数。问题始于对分号的URL编码。根据URL编码规范分号对应%3B。当一个请求的URL路径中包含%3B时例如/users/123%3Btypepdf/docs/456这个字符串在到达Spring应用之前会先被Servlet容器如Tomcat进行解码。Tomcat默认会将%3B解码回字面意义上的分号;。至此路径变成了/users/123;typepdf/docs/456。关键在于后续的步骤。Spring Framework 内部用于处理URL路径的工具类如org.springframework.web.util.UrlPathHelper在getLookupPathForRequest等方法中会对路径进行额外的清理和解析。在受影响的版本中对于某些包含解码后分号的路径在进行路径规范化如移除./或../或与控制器映射HandlerMapping进行匹配时逻辑可能出现偏差。这种偏差可能导致路径匹配错误预期匹配到A控制器的路径实际却匹配到了B控制器。路径参数提取异常本该作为路径变量值一部分的编码分号被错误地解析为路径参数的分隔符或者反之。规范化绕过结合../等序列可能使规范化逻辑失效导致目录遍历。2.2 受影响的版本范围这个漏洞不是Spring Boot直接产生的而是其底层依赖的Spring Framework的问题。主要受影响的Spring Framework版本是5.3.0 至 5.3.386.0.0 至 6.0.186.1.0 至 6.1.5如果你使用的Spring Boot版本其自动管理的Spring Framework依赖落在上述范围内那么你的应用就存在潜在风险。例如Spring Boot 2.7.x 系列通常对应 Spring Framework 5.3.xSpring Boot 3.0.x 对应 6.0.xSpring Boot 3.1.x 对应 6.1.x。你可以通过检查项目的pom.xml或build.gradle文件中的spring-boot-dependencies父POM或BOM来确认具体版本。2.3 与类似漏洞的关联思考看到URL解析漏洞有经验的安全人员可能会联想到历史上的“Spring4Shell”CVE-2022-22965或某些目录遍历漏洞。CVE-2024-22243与它们的最大区别在于它不直接涉及远程代码执行RCE其风险更偏向于逻辑安全层面的绕过。它更像是为攻击者提供了一把“锉刀”让他们有机会去锉开应用安全防线上一些依赖路径精确匹配的锁。例如如果你的权限校验依赖于antMatchers(“/admin/**”).hasRole(“ADMIN”)这样的配置攻击者或许能通过构造包含编码分号的路径让请求“看起来”不属于/admin/**模式从而绕过Spring Security的校验当然Spring Security自身可能也有相应的解析逻辑这取决于版本和配置。又或者在服务端发起HTTP请求时例如使用RestTemplate如果URL拼接不当攻击者控制的输入可能通过编码分号改变请求的目标。注意漏洞的具体利用方式高度依赖于应用程序自身的URL处理逻辑、安全配置以及中间件的行为。因此不能简单地认为“我的应用没功能用矩阵参数就没事”。作为开发者最稳妥的做法永远是及时将框架升级到已修复的安全版本。3. 修复方案一升级Spring Framework依赖版本推荐修复安全漏洞最直接、最根本的方法是升级到已修复该问题的版本。Spring团队在后续的维护版本中已经修复了CVE-2024-22243。3.1 确定目标升级版本你需要将Spring Framework升级到以下或更高版本5.3.39或更高针对 Spring Boot 2.7.x 用户6.0.19或更高针对 Spring Boot 3.0.x 用户6.1.6或更高针对 Spring Boot 3.1.x 用户对于Spring Boot用户来说我们通常不直接指定spring-core的版本而是通过升级Spring Boot的版本来间接升级其管理的所有Spring项目依赖这是最省心、兼容性最好的方式。3.2 Maven项目升级步骤在你的pom.xml中找到parent标签或properties标签中定义的Spring Boot版本号。对于Spring Boot 2.x用户建议升级到2.7.18或2.6.15这两个都是长期支持版本并且包含了修复。将版本号修改如下parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId !-- 升级到2.7.18 -- version2.7.18/version relativePath/ /parent或者如果你在properties中管理版本properties spring-boot.version2.7.18/spring-boot.version /properties对于Spring Boot 3.x用户建议升级到3.0.15或3.1.10或更高的稳定版本。parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId !-- 例如升级到3.1.10 -- version3.1.10/version relativePath/ /parent修改后在项目根目录执行mvn clean compile或使用IDE的Maven更新功能拉取新版本的依赖。3.3 Gradle项目升级步骤在build.gradle或build.gradle.kts文件中找到插件部分和依赖版本管理。对于Spring Boot 2.x (Gradle):plugins { id org.springframework.boot version 2.7.18 // 修改版本号 id io.spring.dependency-management version 1.1.4 id java }对于Spring Boot 3.x (Gradle):plugins { id org.springframework.boot version 3.1.10 // 修改版本号 id io.spring.dependency-management version 1.1.4 id java }修改后在项目根目录执行./gradlew dependencies --update-locks如果使用了依赖锁或./gradlew build来刷新依赖。3.4 升级后的验证与兼容性测试升级框架版本不是简单地改个数字就完事了尤其是大版本升级如从2.x到3.x。但对于同一个小版本号下的安全版本升级如从5.3.38到5.3.39通常不会有破坏性变更回归测试压力较小。不过我仍然强烈建议你进行以下检查编译检查确保项目能编译通过。关注任何被标记为Deprecated的API虽然安全补丁通常不涉及它们但顺便检查一下是个好习惯。基础功能测试启动应用测试核心业务流程、API接口是否正常。特别关注与URL路径处理相关的功能如带路径变量(PathVariable)的接口。使用了MatrixVariable的接口。任何自定义的过滤器(Filter)、拦截器(Interceptor)中关于路径(HttpServletRequest.getRequestURI())的逻辑。配置了antMatchers或mvcMatchers的Spring Security规则。集成测试如果项目有完整的集成测试套件跑一遍看看是否有因URL解析行为微调而失败的用例。查看Release Notes去Spring官方GitHub仓库或发布博客查看对应版本如5.3.39的Release Notes确认CVE-2024-22243已被修复并了解是否有其他需要注意的变化。4. 修复方案二临时缓解措施与深度防御策略在某些特殊情况下你可能无法立即升级Spring Boot或Framework版本。例如项目依赖了某个与新版Spring不兼容的第三方库或者正处于上线前的关键时期大规模升级风险不可控。这时我们可以考虑一些临时缓解措施和深度防御策略虽然它们不能根除框架层的漏洞但能显著降低被利用的风险。4.1 在Web防火墙或网关层进行过滤这是最外层的防御不依赖于应用本身。你可以在应用的入口处例如Nginx、Apache、云负载均衡器如AWS ALB、Azure App Gateway或API网关上配置规则来拒绝或规范化包含可疑编码分号的请求。Nginx 配置示例 可以在server或location块中添加规则阻止路径中包含%3B或%3b的请求。location / { if ($request_uri ~* “%3[Bb]”) { return 403; # 或者 return 400; } # ... 其他代理配置 proxy_pass http://your-spring-app; }注意这种正则匹配可能会产生误杀如果业务确实需要传递编码后的分号这种场景极少此规则就不适用。它更像一个紧急止血带。4.2 使用自定义Servlet Filter进行请求净化在应用内部我们可以创建一个过滤器在请求到达Spring MVC的DispatcherServlet之前对请求的URI进行清洗和规范化。import javax.servlet.*; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletRequestWrapper; import java.io.IOException; import java.net.URLDecoder; import java.nio.charset.StandardCharsets; Component Order(Ordered.HIGHEST_PRECEDENCE) // 确保过滤器最早执行 public class UrlSanitizationFilter implements Filter { Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { if (request instanceof HttpServletRequest) { HttpServletRequest httpRequest (HttpServletRequest) request; String requestUri httpRequest.getRequestURI(); String contextPath httpRequest.getContextPath(); // 移除上下文路径得到在应用内的路径 String path requestUri.substring(contextPath.length()); // 进行URL解码因为容器可能已解码一次这里再解码是为了处理双重编码等情况 String decodedPath; try { decodedPath URLDecoder.decode(path, StandardCharsets.UTF_8.name()); } catch (Exception e) { // 解码失败视为非法请求 ((HttpServletResponse) response).sendError(HttpServletResponse.SC_BAD_REQUEST, “Invalid URL encoding”); return; } // 关键移除或替换路径中的分号包括编码的 // 策略1直接拒绝包含分号的请求激进 // if (decodedPath.contains(“;”)) { // ((HttpServletResponse) response).sendError(HttpServletResponse.SC_BAD_REQUEST, “Semicolon in path is not allowed”); // return; // } // 策略2将分号替换为其他字符如空字符或下划线但需评估对业务的影响 String sanitizedPath decodedPath.replace(“;”, “”); // 如果路径被修改了则包装请求对象让后续处理使用净化后的路径 if (!sanitizedPath.equals(decodedPath)) { request new SanitizedHttpServletRequestWrapper(httpRequest, sanitizedPath); } } chain.doFilter(request, response); } // 自定义HttpServletRequestWrapper来覆盖getRequestURI等方法 private static class SanitizedHttpServletRequestWrapper extends HttpServletRequestWrapper { private final String sanitizedPath; public SanitizedHttpServletRequestWrapper(HttpServletRequest request, String sanitizedPath) { super(request); this.sanitizedPath request.getContextPath() sanitizedPath; } Override public String getRequestURI() { return this.sanitizedPath; } Override public String getServletPath() { // 根据你的应用结构可能需要同时覆盖getServletPath // 这里简单返回sanitizedPath实际情况可能更复杂 return this.sanitizedPath.substring(getContextPath().length()); } } }重要提醒自定义过滤器的方案需要非常谨慎地测试。因为它改变了请求的原始路径可能会影响Spring MVC的路由匹配、MatrixVariable参数的提取、以及任何直接依赖HttpServletRequest.getRequestURI()的业务代码。在实施前务必进行全面的回归测试。4.3 强化Spring Security的路径匹配策略如果你使用了Spring Security可以尝试通过配置使其在路径匹配时使用更严格的方式。例如可以强制Spring Security使用MvcRequestMatcher而不是AntPathRequestMatcher因为前者与Spring MVC的映射逻辑结合更紧密可能对路径解析的行为更一致。Configuration EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() // 使用mvcMatchers它基于Spring MVC的路径匹配可能比antMatchers更精确 .mvcMatchers(“/admin/**”).hasRole(“ADMIN”) .mvcMatchers(“/api/**”).authenticated() .anyRequest().permitAll() .and() .formLogin(); } }同时确保你的Spring Security版本与Spring Framework版本兼容并且本身没有已知的类似路径解析漏洞。4.4 代码审查与安全测试无论是否升级都应该对代码中涉及URL处理、路径拼接、重定向的地方进行重点审查检查所有HttpServletResponse.sendRedirect()调用确保重定向目标URL不是用户可控的或者经过了严格的校验。检查使用RestTemplate、WebClient、HttpClient发起外部请求的地方确保URL是拼接自可信源或者对用户输入部分进行了严格的过滤和编码。审查自定义的HandlerMapping、Interceptor、Filter看它们对路径的处理逻辑是否严谨。最后使用OWASP ZAP、Burp Suite等工具对应用进行主动的安全扫描尝试构造包含%3B、%2e%2e..、%2f/等特殊字符的URL观察应用的响应行为看是否存在异常绕过或错误。5. 修复后的验证与回归测试指南完成了框架升级或实施了缓解措施后工作只完成了一半。最关键的一步是验证修复是否真正生效并且没有引入新的问题。以下是我在实践中总结的一套验证流程。5.1 构造验证用例我们需要模拟攻击者可能的行为构造一系列测试请求。可以使用单元测试、集成测试或者简单的cURL命令、Postman来进行。基础路径参数测试确保正常的路径参数功能仍然工作。GET /api/users/123;typeadmin/docs/456期望能正确匹配到/api/users/{userId}/docs/{docId}这个接口userId123docId456并能通过MatrixVariable获取typeadmin。编码分号测试这是漏洞检测的核心。GET /api/users/123%3Btypeadmin/docs/456修复后期望行为这个请求的行为应该与上一个明确一致。它应该被解析为相同的路径变量和矩阵参数。如果应用返回了不同的结果例如匹配到了错误的路由或者type参数未被正确解析说明修复可能不彻底或自定义过滤器引入了问题。路径遍历组合测试测试编码分号与目录遍历序列的结合。GET /api/users/123%3B/../admin/secret GET /api/admin%3Bfoo/../config修复后期望行为在修复版本中Spring Framework的路径规范化逻辑应能正确处理这种情况最终的匹配路径不应包含../序列。请求应该被解析到其“规范化”后的路径或者返回400/404错误。绝对不能让/admin/secret或/config被成功访问如果它们受保护的话。安全规则绕过测试如果你有基于路径的权限控制如Spring Security需要专门测试。假设/admin/**需要ADMIN角色。用一个普通用户权限的会话访问GET /admin%3Bx/../api/sensitive-data修复后期望行为请求应该被安全拦截器正确识别为对/admin/../api/sensitive-data即/api/sensitive-data的访问并根据该路径的规则进行授权。关键在于安全框架使用的路径解析逻辑必须与应用容器、Spring MVC的解析逻辑保持一致不能出现歧义。5.2 编写集成测试进行自动化验证手动测试容易遗漏最好将其自动化。可以编写Spring Boot Test集成测试来固化这些验证用例。import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.autoconfigure.web.servlet.AutoConfigureMockMvc; import org.springframework.boot.test.context.SpringBootTest; import org.springframework.security.test.context.support.WithMockUser; import org.springframework.test.web.servlet.MockMvc; import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.get; import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.status; import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.jsonPath; SpringBootTest AutoConfigureMockMvc public class UrlParsingVulnerabilityTest { Autowired private MockMvc mockMvc; Test public void testEncodedSemicolonPathParam() throws Exception { // 测试编码分号被正确解析为矩阵参数 mockMvc.perform(get(“/api/users/123%3Btypepdf/docs/456”)) .andExpect(status().isOk()) .andExpect(jsonPath(“$.userId”).value(“123”)) .andExpect(jsonPath(“$.docId”).value(“456”)); // 假设接口返回了矩阵参数type // .andExpect(jsonPath(“$.matrix.type”).value(“pdf”)); } Test WithMockUser(roles “USER”) // 普通用户 public void testSecurityBypassAttempt() throws Exception { // 尝试用编码分号绕过/admin路径校验 // 假设 /admin/sensitive 需要ADMIN角色 mockMvc.perform(get(“/admin%3Bfoo/../sensitive”)) .andExpect(status().isForbidden()); // 期望是403而不是200 OK } Test public void testPathTraversalWithEncodedSemicolon() throws Exception { // 测试路径遍历 // 假设 /api/normal 存在 /api/secret 不存在或禁止访问 mockMvc.perform(get(“/api/normal%3B/../secret”)) .andExpect(status().isNotFound()); // 期望404而不是成功访问到secret } }5.3 监控与日志审计修复上线后短期内应加强监控关注是否有大量的400Bad Request或404Not Found错误集中出现特别是那些请求路径中包含%3B或;的。这可能是攻击者在进行扫描探测。可以在应用的访问日志中增加对这类特殊字符的标记和告警。例如在Logback或Log4j2的日志模式中确保记录完整的请求URI%requestURI。并配置日志分析系统如ELK Stack的告警规则对包含特定模式的URI请求进行频率告警。5.4 回归测试清单除了安全测试常规的回归测试也必不可少[ ] 所有核心业务API接口的功能测试。[ ] 涉及文件上传、下载的路径处理测试。[ ] 所有重定向逻辑的测试。[ ] 与外部系统集成的回调URL测试。[ ] 前端路由与后端API的对接测试如果前端使用了基于路径的路由。修复CVE这类框架级漏洞就像给房子的地基打补丁。升级版本是换掉有裂缝的砖块是最彻底的方法而临时缓解措施则像是在裂缝处加上监控和支撑。作为开发者我们的目标不仅是让补丁生效更要通过严格的验证确保这处修补没有让房子的其他部分变得不稳定。经过上述从理解、修复到验证的全流程你应该能 confidently 地说你的Spring Boot应用已经妥善处理了CVE-2024-22243带来的风险。在安全问题上永远保持警惕和主动总是没错的。
 ppt笔记)
