# Java Spring框架远程代码执行高危漏洞
Spring是一款主流的Java EE轻量级开源框架，面向服务器端开发设计。近日，Spring框架被曝出可导致RCE远程代码执行的漏洞，该漏洞攻击面较广，潜在危害严重，对JDK 9及以上版本皆有影响。
#### 漏洞名称
Spring框架RCE 0day安全漏洞
#### 影响范围
- JDK 9及以上的。
- 使用了Spring框架或衍生框架。
 
#### 防护建议
1. [购买WAF](https://support.huaweicloud.com/usermanual-waf/waf_01_0109.html)。
2. 将网站域名添加到WAF中并完成域名接入，详细操作请参见[添加防护域名](https://support.huaweicloud.com/usermanual-waf/waf_01_0002.html)。
3. 将Web基础防护的状态设置为"拦截"模式，详细操作请参见[配置Web基础防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html)。
   
   图1Web基础防护页面   
   ![](https://support.huaweicloud.com/bulletin-waf/zh-cn_image_0000001272174225.png "点击放大")
   ![](https://support.huaweicloud.com/bulletin-waf/public_sys-resources/notice_3.0-zh-cn.png)
   目前，该漏洞存在两种攻击payload，是否开启"header全检测"根据攻击payload的方式而定：
   - 第一种是通过在参数提交中携带攻击载荷。此时，"header全检测"可以不开启拦截。
   
   - 第二种是在header自定义字段中携带攻击载荷。此时，"header全检测"必须开启拦截模式，才可以拦截此类攻击。
   
   
   第二种攻击方式对第一种有依赖，所以是否要开启"header全检测"，您可以根据您的业务需求进行选择。