有人关注今天的Spring RCE吗

怕是今晚安全圈的一枚重榜nuclear。lz java安全小学生水平。看了一下spring官方的git log。是禁用了SerializationUtils工具类里的deserialization方法。改用了clone。应该是又是一个反序列化的问题，链子目前未知。
目前蓝鸟上和各大安全群里都是谜语人，盲猜有上次阿里log4j的教训，这一次想要复现漏洞难度会很大。

以在下的皮毛安全知识而言，改用了clone，又想复现原始code injection. 这是在给自己找难度呢？
我就知道要用input sanitization 和 sandbox request来对付 remote code injection

个人观点：达不到核弹级别，国内有些厂商和公众号把它炒的太夸大了，不如log4j和shiro

你link的不是最后真正的patch. 真正的patch是:https://github.com/spring-projec ... ccb81eb3168f51abb15