czc
19 KiB
19 KiB
安全漏洞自查工作自证材料
报告日期：2026-06-24
项目名称：LSERP-MES / WebErp Java 后端
报告用途：企业定期安全漏洞自查、风险识别记录、风险规避与处置方案留档
报告性质：代码与配置层面的自查材料，不替代第三方渗透测试、等保测评或生产环境安全审计。
1. 项目概况与扫描范围
本次自查覆盖当前工作区 E:\JavaBackend\Java_DmK 下的 Java 后端项目，重点模块为：
| 范围 | 说明 |
|---|---|
WebErp/pom.xml |
Maven 父模块、依赖管理、仓库配置 |
WebErp/weberp/pom.xml |
Spring Boot 子模块、运行依赖、构建配置 |
WebErp/weberp/src/main/resources/application.properties |
应用端口、数据源、Redis、JWT、连接池及资源治理配置 |
WebErp/weberp/src/main/java/org/example |
认证授权、接口分发、文件上传下载、SQL、脚本、XML、资源管理等业务代码 |
WebErp/weberp/src/main/resources/mapper |
MyBatis XML 映射与动态 SQL |
WebErp/weberp/src/test/java/org/example |
安全与资源治理回归测试 |
本次自查重点覆盖以下风险域：
- 第三方组件与依赖漏洞。
- 明文敏感配置与凭证泄露风险。
- 认证授权、CSRF、CORS、接口开放面。
- SQL 注入与动态 SQL 拼接。
- 文件上传、下载、路径穿越、压缩包解压。
- 脚本执行、XML 反序列化、系统命令调用。
- 资源泄漏、缓存与线程池治理。
2. 自查方法与证据来源
| 方法 | 证据说明 |
|---|---|
| 静态文件扫描 | 使用 rg 对认证、文件、SQL、脚本、XML、敏感配置等关键字进行扫描。 |
| 依赖清单抽取 | 从 WebErp/pom.xml、WebErp/weberp/pom.xml 提取直接声明的 Maven 依赖版本。 |
| OSV 漏洞库核验 | 使用 OSV API 对已声明依赖版本进行公开漏洞匹配。 |
| 代码证据复核 | 抽查 Spring Security、CORS、文件工具、Zip 工具、JWT、脚本执行、测试用例等关键文件。 |
| 回归测试证据核对 | 识别已有安全回归测试覆盖点，包括路径穿越、Zip Slip、CORS、JWT、资源治理等。 |
环境限制：
- 当前扫描环境未发现可用
mvn命令，因此未执行mvn test、Maven 依赖树生成或 OWASP Dependency-Check。 - Git 状态读取触发 safe.directory 所有权保护，本次报告不依赖 Git 状态作为证据。
- OSV 查询基于 POM 中直接声明或可解析的依赖，不代表完整运行时传递依赖的最终结论；后续应补充完整依赖树扫描。
3. 风险识别记录台账
| 编号 | 风险名称 | 位置 | 等级 | 影响 | 现状证据 | 处置方案 | 优先级 |
|---|---|---|---|---|---|---|---|
| R-001 | Jackson 组件存在公开漏洞 | WebErp/pom.xml、WebErp/weberp/pom.xml 中 Jackson 2.18.3 |
高 | 可能导致反序列化绕过、SSRF、拒绝服务等风险，取决于业务是否启用相关 Jackson 特性和输入面。 | OSV 命中 jackson-core、jackson-databind 多条风险：GHSA-72hv-8253-57qq、GHSA-5jmj-h7xm-6q6v、GHSA-hgj6-7826-r7m5、GHSA-j3rv-43j4-c7qm、GHSA-rmj7-2vxq-3g9f。 |
将 Jackson 统一升级到已修复版本，建议优先评估 2.18.9 或与 Spring Boot 版本兼容的更高补丁版本；升级后回归 JSON 序列化、接口响应、文件预览和鉴权流程。 | P0，建议 2026-07-01 前完成 |
| R-002 | SQL Server JDBC 驱动存在公开漏洞 | WebErp/pom.xml、WebErp/weberp/pom.xml 中 mssql-jdbc 12.8.1.jre11 |
高 | 可能受不当输入校验问题影响；若系统连接 SQL Server 或保留相关驱动运行时可用，则存在组件风险。 | OSV 命中 GHSA-m494-w24q-6f7w / CVE-2025-59250，修复版本包含 12.8.2.jre11、12.10.2.jre11 等。 | 若仍需 SQL Server 支持，升级到至少 12.8.2.jre11，建议评估 12.10.2.jre11；若不再使用，移除依赖和相关配置。 | P0，建议 2026-07-01 前完成 |
| R-003 | 数据库连接串包含明文账号密码 | WebErp/weberp/src/main/resources/application.properties:16 及注释历史连接串 |
高 | 代码仓库、构建包或日志泄露时可能造成数据库凭证泄露和横向访问风险。 | 配置文件中存在形如 jdbc:dm://***:****/***?user=***&password=***&host={hostname} 的连接串；报告已脱敏，不展示真实 IP、账号和密码。 |
迁移到环境变量、启动参数、KMS/密钥管理服务或配置中心；清理注释中的历史账号密码；轮换已暴露账号密码；限制数据库账号权限和来源 IP。 | P0，建议 2026-07-01 前完成 |
| R-004 | 认证入口开放面较大，依赖业务层二次校验 | SecurityConfig.java:14-44、各 Controller 的 @RequestCheck |
高 | Spring Security 对多组 /Api/** 路径 permitAll，若业务层注解或反射分发漏配，可能形成未授权访问。 |
SecurityConfig 仅对未匹配请求 denyAll；业务方法依赖 @RequestCheck(CheckLogin = true/false) 控制登录态。 |
梳理免登录白名单，仅保留登录、验证码、公开配置等必要接口；对反射分发方法建立默认强制登录策略；为高风险操作增加服务端权限校验测试。 | P0，建议 2026-07-05 前完成 |
| R-005 | CSRF 对核心 API 路径豁免 | SecurityConfig.java:14-22 |
中 | 如浏览器 Cookie 或会话凭证可跨站携带，写操作接口可能被跨站请求利用。 | 多个 /Api/** 路径被配置为 CSRF 忽略；系统同时配置 CORS 凭证支持。 |
对 Cookie 会话场景启用 CSRF Token；若完全使用 Bearer Token，确保 Token 不存放于可被跨站自动携带的 Cookie；对写操作要求 Authorization 并校验 Origin/Referer。 |
P1，建议 2026-07-10 前完成 |
| R-006 | CORS 允许携带凭证且允许请求头通配 | CorsConfig.java:15-41 |
中 | 跨域来源若配置过宽，可能扩大凭证使用面和数据读取面。 | CORS 配置指定多个来源、setAllowCredentials(true)、addAllowedHeader("*")，已有测试覆盖拒绝 TRACE 方法和不暴露所有响应头。 |
将来源列表改为环境化配置；生产环境只保留正式前端域名；限制允许请求头；保留并扩展 CORS 回归测试。 | P1，建议 2026-07-10 前完成 |
| R-007 | MyBatis ${} 动态拼接存在 SQL 注入风险 |
mapper/PageBreaks.xml、mapper/DMCrmMapper.xml、mapper/CustomerMapper.xml |
高 | ${} 会直接拼接 SQL 文本，若字段名、条件、排序或 SQL 片段来自用户输入，可能导致 SQL 注入。 |
扫描发现 ${sql}、${keyName}、${condition} 等动态拼接；部分业务代码也存在大量 String.format / 拼接式 SQL。 |
将值参数改为 #{}；对表名、字段名、排序、条件片段使用服务端白名单枚举；禁止前端直接传 SQL；对无法立即改造的动态 SQL 增加 SqlAnalyzer 校验和审计日志。 |
P0，建议 2026-07-05 前完成 |
| R-008 | 远程 URL 下载文件可能形成 SSRF | FileUploadController.java、FileUtil.DownLoadFile、downloadFile、asyncDownload |
高 | 若用户可控 URL 被服务端下载，可能访问内网、云元数据地址或敏感管理端口。 | 文件上传逻辑支持 url 参数触发远程下载，工具类包含多处 HTTP 下载方法。 |
增加 URL 协议、域名、IP 网段、端口白名单；阻断内网地址、回环地址、链路本地地址、云元数据地址；限制重定向和文件大小；记录下载审计日志。 | P0，建议 2026-07-05 前完成 |
| R-009 | 文件上传类型与路径风险需持续治理 | FileUtil.java、FileUploadController.java |
中 | 文件类型、文件名、路径校验缺陷可能导致任意文件写入、恶意文件上传或越权读取。 | 已存在扩展名白名单、危险类型黑名单、路径权限校验；测试覆盖伪造根目录名绕过场景。 | 保持服务端真实路径归一化校验；增加 MIME/文件魔数校验；上传目录禁止脚本执行；限制单文件大小和总量；对下载、删除、移动操作统一权限校验。 | P1，建议 2026-07-15 前完成 |
| R-010 | Zip Slip 解压路径穿越风险已识别并有控制 | ZipUtil.java、SecurityRegressionTest.java |
中 | 恶意压缩包可能通过 ../ 写出目标目录，覆盖系统文件。 |
ZipUtil 使用目标根路径 normalize 后校验 startsWith(targetRoot)；测试覆盖 ../escaped.txt 解压逃逸。 |
保留现有校验；补充压缩包大小、条目数、单文件大小、解压后总大小限制，防止 Zip Bomb。 | P1，建议 2026-07-15 前完成 |
| R-011 | GraalJS 允许全访问，动态脚本执行面较高 | JsEngine.java:39-40、JsEngine.java:99 |
高 | 若脚本内容或上下文参数可被用户控制，可能造成任意 Java 访问、敏感信息读取或命令执行链。 | polyglot.js.allowAllAccess 被设置为 true，并执行 engine.eval(statement, context)。 |
默认关闭 allowAllAccess；只允许执行受控表达式；对脚本来源进行白名单管理；限制执行时间和可访问对象；为脚本执行增加审计日志和安全测试。 |
P0，建议 2026-07-05 前完成 |
| R-012 | XML 反序列化需禁用外部实体与 DTD | XmlUtil.java |
中 | XML 输入若来自不可信来源，可能存在 XXE、SSRF、文件读取等风险。 | 使用 JAXB Unmarshaller 反序列化 XML，当前未显式展示禁用外部实体和 DTD 的配置。 |
使用安全 XML 解析器配置，禁用 DTD、外部实体、外部 schema；限制 XML 大小；对不可信 XML 输入增加测试样例。 | P1，建议 2026-07-15 前完成 |
| R-013 | 系统命令调用需白名单与参数隔离 | OfficeUtil.java、FormatFactoryUtil.java |
中 | 外部程序路径或参数若可控，可能形成命令执行、权限扩大或路径劫持风险。 | 扫描发现 Runtime.getRuntime().exec、ProcessBuilder 用于文件权限或格式转换。 |
固定可执行文件路径；参数使用数组传递且禁止拼接 shell；校验文件路径位于工作目录；记录执行日志和失败告警；避免 chmod 777 等过宽权限。 |
P1，建议 2026-07-15 前完成 |
| R-014 | 资源治理已有控制但需纳入定期复核 | ResourceGovernanceConfig.java、RequestCleanupFilter.java、ResourceGovernanceRegressionTest.java |
低 | 缓存、线程池、动态数据源若失控，可能导致内存泄漏、连接泄漏或拒绝服务。 | 已有缓存容量、JS 缓存容量、线程池队列、动态连接池关闭等配置和回归测试。 | 保留容量上限；接入运行监控；对连接池活跃数、队列积压、缓存命中率和异常关闭建立告警。 | P2，建议 2026-07-31 前完成 |
| R-015 | 构建与依赖治理流程不完整 | 当前环境与 POM | 中 | 缺少稳定的自动化安全扫描会导致漏洞发现滞后。 | 当前机器无 mvn；未能生成完整依赖树；OSV 仅覆盖可解析直接依赖。 |
在 CI 中增加 mvn test、mvn dependency:tree、OSV Scanner 或 OWASP Dependency-Check；每次发版前输出依赖漏洞报告。 |
P1，建议 2026-07-15 前完成 |
4. 公开漏洞核验结果
本次 OSV 查询命中以下依赖风险：
| 组件 | 当前版本 | 风险编号 | 等级 | 摘要 | 修复版本建议 |
|---|---|---|---|---|---|
com.fasterxml.jackson.core:jackson-core |
2.18.3 | GHSA-72hv-8253-57qq | 中 | 异步解析器数字长度约束绕过，可能导致拒绝服务。 | 2.18.6 或更高兼容补丁版 |
com.fasterxml.jackson.core:jackson-databind |
2.18.3 | GHSA-5jmj-h7xm-6q6v | 中 | @JsonIgnoreProperties 大小写反序列化绕过。 |
2.18.9 或更高兼容补丁版 |
com.fasterxml.jackson.core:jackson-databind |
2.18.3 | GHSA-hgj6-7826-r7m5 | 中 | InetSocketAddress 反序列化可能触发 DNS 解析，引入 SSRF 风险。 |
2.18.8 或更高兼容补丁版 |
com.fasterxml.jackson.core:jackson-databind |
2.18.3 | GHSA-j3rv-43j4-c7qm | 高 | 多态类型校验绕过，可能导致任意类实例化。 | 2.18.8 或更高兼容补丁版 |
com.fasterxml.jackson.core:jackson-databind |
2.18.3 | GHSA-rmj7-2vxq-3g9f | 高 | BasicPolymorphicTypeValidator 数组子类型白名单绕过。 |
2.18.8 或更高兼容补丁版 |
com.microsoft.sqlserver:mssql-jdbc |
12.8.1.jre11 | GHSA-m494-w24q-6f7w / CVE-2025-59250 | 高 | SQL Server JDBC 驱动输入校验问题。 | 至少 12.8.2.jre11，或升级到 12.10.2.jre11 等兼容修复版本 |
依赖处置原则：
- 同一组件族统一版本，避免
dependencyManagement与子模块显式版本不一致。 - 优先通过 Spring Boot BOM 或统一属性管理版本。
- 升级前备份当前依赖树；升级后执行单元测试、接口冒烟测试、文件预览/转换测试、登录鉴权测试。
- 对暂不能升级的漏洞记录风险接受原因、补偿控制和复核日期。
5. 已有安全控制与规避措施
| 控制项 | 当前证据 | 有效性说明 |
|---|---|---|
| 默认拒绝未匹配请求 | SecurityConfig 中 anyRequest().denyAll() |
可降低非白名单路径暴露面。 |
| 接口级登录校验注解 | @RequestCheck 默认 CheckLogin = true |
业务层可对方法级别实施登录态、参数、日志控制。 |
| CORS 源白名单 | CorsConfig 中使用具体来源模式 |
避免使用 * 携带凭证；仍需生产环境收敛来源。 |
| CORS 方法限制 | 已允许常用方法并测试拒绝 TRACE | SecurityRegressionTest 覆盖异常方法拒绝。 |
| 响应头暴露收敛 | 暴露固定响应头，不使用 * |
已有测试验证不暴露所有响应头。 |
| 文件扩展名黑白名单 | FileUtil 中定义允许和禁止类型 |
可阻止常见脚本文件上传；仍需补充 MIME/魔数校验。 |
| 文件路径权限校验 | FileUtil.checkFileAuthory |
已有测试覆盖伪造根目录名绕过。 |
| Zip Slip 防护 | ZipUtil.resolveZipEntryPath |
解压路径规范化后校验目标目录边界。 |
| JWT 签名初始化 | JwtHelp 使用 RSA 签名并有静态初始化测试 |
已有测试覆盖 Spring 构造器未运行时的令牌生成。 |
| 资源治理配置 | 缓存、JS 缓存、线程池、动态连接池上限 | 已有回归测试覆盖容量限制和动态连接池关闭。 |
6. 风险处置方案与整改优先级
P0：立即整改
整改目标：消除高危依赖、凭证泄露、未授权、SQL 注入、SSRF 和高危脚本执行面。
| 事项 | 责任建议 | 截止建议 | 验收标准 |
|---|---|---|---|
| 升级 Jackson 与 mssql-jdbc | 后端负责人 | 2026-07-01 | OSV/Dependency-Check 不再命中对应漏洞；回归测试通过。 |
| 移除明文数据库凭证 | 运维与后端负责人 | 2026-07-01 | POM、properties、日志和文档中无真实密码；已轮换暴露账号。 |
收敛 permitAll 与免登录接口 |
后端负责人 | 2026-07-05 | 白名单清单明确；高风险接口必须登录和鉴权；新增未授权访问测试。 |
| 动态 SQL 白名单治理 | 后端负责人 | 2026-07-05 | 用户输入值全部参数化；字段/表名/排序仅来自服务端白名单。 |
| 远程 URL 下载 SSRF 防护 | 后端负责人 | 2026-07-05 | 阻断内网、回环、链路本地、云元数据地址；新增 SSRF 单元测试。 |
| 关闭或限制 GraalJS 全访问 | 架构与后端负责人 | 2026-07-05 | 默认不允许 Java 全访问；脚本来源、对象访问和执行时间受控。 |
P1：短期治理
整改目标：降低中危配置、解析、上传和命令执行风险。
| 事项 | 截止建议 | 验收标准 |
|---|---|---|
| 生产 CORS 来源环境化和最小化 | 2026-07-10 | 生产仅保留正式域名；测试覆盖非法 Origin。 |
| CSRF 策略复核 | 2026-07-10 | Cookie 会话启用 CSRF；Bearer Token 场景明确禁止跨站自动携带凭证。 |
| XML 安全解析配置 | 2026-07-15 | 禁用 DTD、外部实体和外部 schema；新增 XXE 测试。 |
| 文件上传魔数、大小、目录策略 | 2026-07-15 | 上传目录不可执行；大小限制、MIME/魔数校验和审计日志上线。 |
| 系统命令调用白名单 | 2026-07-15 | 外部程序路径固定；参数数组化；无 shell 拼接；避免过宽文件权限。 |
| CI 安全扫描补齐 | 2026-07-15 | CI 生成测试报告、依赖树、漏洞扫描报告。 |
P2：持续优化
整改目标：将安全自查固化为周期机制。
| 事项 | 截止建议 | 验收标准 |
|---|---|---|
| 资源治理监控 | 2026-07-31 | 连接池、线程池、缓存、队列积压均有指标和告警。 |
| 安全基线文档 | 2026-07-31 | 形成接口鉴权、SQL、安全配置、上传下载、依赖升级基线。 |
| 安全回归用例扩展 | 2026-07-31 | 覆盖未授权、SQL 注入、SSRF、XXE、文件魔数、上传大小限制。 |
7. 定期漏洞自查机制建议
建议建立以下定期自查制度：
| 周期 | 自查内容 | 输出材料 |
|---|---|---|
| 每周 | 依赖漏洞库增量扫描，关注高危/严重漏洞。 | 依赖漏洞扫描记录、风险接受记录。 |
| 每月 | 代码安全关键字扫描，复核认证、SQL、文件、脚本、XML、命令执行。 | 风险识别台账、整改闭环清单。 |
| 每次发版前 | mvn test、依赖树、OSV/Dependency-Check、关键接口安全回归。 |
发版安全检查表、测试报告。 |
| 每季度 | 安全基线复核、配置脱敏检查、凭证轮换、最小权限复核。 | 季度安全自查报告、凭证轮换记录。 |
| 重大漏洞公告后 | 针对公告组件和受影响版本快速排查。 | 专项漏洞排查记录、应急处置记录。 |
建议保留的自证材料：
- 自查日期、范围、负责人、扫描工具和命令记录。
- 依赖漏洞扫描原始结果和处置结论。
- 风险台账：风险编号、等级、影响、证据、责任人、计划完成日期、闭环状态。
- 整改前后代码或配置差异。
- 回归测试报告、构建报告、上线验证记录。
- 风险接受审批记录和下次复核日期。
8. 后续验证清单
| 检查项 | 命令或动作 | 预期结果 |
|---|---|---|
| Maven 测试 | mvn test |
全部测试通过，无失败和错误。 |
| 依赖树 | mvn dependency:tree |
输出完整直接与传递依赖，归档为发版证据。 |
| OSV 扫描 | osv-scanner -r . 或 CI 中等效工具 |
无高危/严重未处置漏洞；中低危有处置计划。 |
| OWASP Dependency-Check | dependency-check Maven 插件或 CI 任务 |
生成 HTML/JSON 报告并归档。 |
| 敏感信息扫描 | secret 扫描工具或 rg 关键字扫描 |
无真实密码、Token、Secret、公网连接串。 |
| 安全回归 | 现有 JUnit + 新增未授权/SSRF/XXE/SQL 注入测试 | 关键安全用例稳定通过。 |
9. 本次自查结论
本次自查确认项目已具备一定安全治理基础，包括 Spring Security 默认拒绝策略、业务层登录校验注解、CORS 回归测试、文件路径校验、Zip Slip 防护、JWT 初始化测试和资源治理回归测试。
同时，本次自查识别出若干需要优先处置的风险：高危依赖版本、明文数据库凭证、接口开放面依赖业务层校验、动态 SQL 拼接、远程 URL 下载 SSRF 风险以及 GraalJS 全访问脚本执行风险。建议将 P0 风险纳入最近一次安全整改，完成后补跑 Maven 测试、依赖树、OSV/OWASP 扫描，并更新本报告形成闭环记录。