披露涉及什么
CVE-2022-22965 涉及在特定 Spring Framework 场景下通过数据绑定导致的远程代码执行。请对照官方公告评估应用依赖与部署条件，而非假设每个 Java 或 Spring 应用暴露面相同。
受控评估
- 01清点 Spring Framework 依赖、传递库与已部署应用。
- 02将版本与部署条件同厂商公告及当前受支持版本指南对比。
- 03确定升级路径、应用测试覆盖与责任负责人。
- 04通过正常变更流程部署受支持的修复并验证运行中的依赖。
- 05若怀疑存在暴露，审阅监控与事件证据。
架构启示
依赖可见性与可重复部署使紧急修复更可控。安全评估应识别应用及其运行环境；不支持的轶事或对无关安装的笼统说法不能证明存在暴露。
发布背景
本文原于 2023 年 3 月发布。安全说明已修订为引导读者查阅主要厂商指南，并删除缺乏依据的历史修复主张。当前修复取决于受影响产品及受支持版本。
常见问题