Java Undertow Host 头注入高危漏洞分析与修复方案

受影响的 Spring Boot 版本

• Spring Boot 2.6.x ~ 2.7.14 全版本
• Spring Boot 3.0.x ~ 3.1.9 全版本
• Spring Boot 3.2.0 版本（最新版 3.2.1 已修复）

不受影响的场景

1. 项目使用 Tomcat 作为嵌入式服务器
2. Undertow 版本升级到 2.2.20.Final+ / 2.3.10.Final+
3. Spring Boot 版本升级到 2.7.15+ / 3.1.10+ / 3.2.1+
4. 纯内网部署、无公网访问的应用

五、解决方案

方案一：版本升级（官方根治方案）

这是最根本、最安全的解决方案，官方已在新版本中修复了 Host 头校验的缺陷。

情况 1：纯 Undertow 独立部署

修改 pom.xml（Maven）或 build.gradle（Gradle），指定修复后的版本：

<!-- Maven 修复版本 -->
<dependency>
    <groupId>io.undertow</groupId>
    <artifactId>undertow-core</artifactId>
    <version>2.3.10.Final</version>
</dependency>
<!-- 或 2.2.x 系列修复版 -->
<dependency>
    <groupId>io.undertow</groupId>
    <artifactId>undertow-core</artifactId>
    <version>2.2.20.Final</version>
</dependency>

情况 2：Spring Boot 项目

无需单独修改 Undertow 依赖，直接升级 Spring Boot 的父工程版本即可：

<parent>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <!-- 2.7.x 系列（稳定版，推荐） -->
    <version>2.7.15</version>
    <!-- 3.1.x 系列 -->
    <!-- <version>3.1.10</version> -->
    <!-- 3.2.x 系列（最新版） -->
    <!-- <version>3.2.1</version> -->
    <relativePath/>
</parent>

方案二：紧急修复（配置白名单）

适用于生产环境无法立即升级的场景，通过配置实现「Host 头白名单校验」。

情况 1：Spring Boot 项目

修改项目的 application.yml 或 application.properties，新增 Undertow 的 Host 头白名单配置：

# application.yml 配置
server:
  undertow:
    strict-host-header: true
    allowed-hosts: www.xxx.com,xxx.com,192.168.1.100,localhost,127.0.0.1
    invalid-host-header-action: REJECT

# application.properties 配置
server.undertow.strict-host-header=true
server.undertow.allowed-hosts=www.xxx.com,xxx.com,192.168.1.100,localhost,127.0.0.1
server.undertow.invalid-host-header-action=REJECT

情况 2：纯 Undertow 独立部署

在 Undertow 的启动代码中，添加 HostHeaderHandler 拦截器：

Undertow server = Undertow.builder()
    .addHttpListener(8080, "0.0.0.0")
    .setHandler(Handlers.hostHeaderHandler(
        new YourBusinessHandler(),
        Arrays.asList("www.xxx.com", "xxx.com", "192.168.1.100"),
        HostHeaderHandler.REJECT_ACTION
    ))
    .build();
server.start();

方案三：自定义过滤器（兜底方案）

适用于 Spring Boot 版本过低不支持上述配置的极端场景，通过自定义 Filter 拦截所有 HTTP 请求：

import org.springframework.stereotype.Component;
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.HashSet;
import java.util.Set;

@Component
public class HostHeaderValidateFilter implements Filter {
    private static final Set<String> ALLOWED_HOSTS = new HashSet<>();
    static {
        ALLOWED_HOSTS.add("www.xxx.com");
        ALLOWED_HOSTS.add("xxx.com");
        ALLOWED_HOSTS.add("192.168.1.100");
        ALLOWED_HOSTS.add("localhost");
        ALLOWED_HOSTS.add("127.0.0.1");
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;
        String host = req.getHeader("Host");
        if (host != null && host.contains(":")) {
            host = host.split(":")[0];
        }
        if (host == null || !ALLOWED_HOSTS.contains(host)) {
            resp.setStatus(HttpServletResponse.SC_FORBIDDEN);
            resp.getWriter().write("Illegal Host Header");
            return;
        }
        chain.doFilter(request, response);
    }
}

六、开发规范

本次漏洞的核心诱因除了 Undertow 的底层缺陷，还有 Java 开发者的不安全编码习惯。即使升级了版本、配置了白名单，若不规范开发，未来仍可能出现类似的注入漏洞。

核心铁律

永远不要信任客户端传入的任何请求头/请求参数，包括且不限于 Host 头、Referer 头、User-Agent 头。客户端的所有输入都是不可信的，必须经过严格校验后才能使用。

关键开发规范

1. 禁止直接使用 request.getServerName() / request.getHeader("Host") 任何业务场景都不要直接读取并使用这两个 API 的返回值，包括拼接 URL、生成跳转链接、生成邮件链接等。
2. 对所有外部输入做合法性校验 不仅是 Host 头，对所有请求参数、请求头、Cookie 等外部输入，都要做格式校验 + 非法字符过滤。
3. 保留 Host 白名单配置 即使漏洞修复了，也建议保留白名单配置，相当于给服务器加了一层防火墙。
4. 统一硬编码到配置文件 项目中需要用到的域名、主机名，全部配置在 application.yml/properties 中，从配置文件读取，而不是从请求头获取。

七、漏洞修复验证方法

修复完成后，必须验证漏洞是否彻底解决。

方法一：curl 命令伪造 Host 头测试

在服务器/本地执行以下 curl 命令，伪造非法的 Host 头访问你的应用，若返回 400 Bad Request 或 403 Forbidden，说明修复生效。

curl -H "Host: malicious.com" http://你的应用 IP:端口/api/任意接口

方法二：Postman 测试

1. 打开 Postman，新建请求，访问你的应用接口；
2. 在 Headers 中添加 Host: malicious.com（非法域名）；
3. 发送请求，若返回 400/403，说明修复生效。

总结

1. Undertow Host 头注入漏洞是 9.6 分高危漏洞，利用简单、危害极大，Spring Boot 项目是重灾区。
2. 漏洞根源是 Undertow 未校验 Host 头 + 开发者滥用 request.getServerName()，两者叠加导致风险。
3. 最优解决方案：优先升级 Spring Boot/Undertow 版本，彻底修复底层缺陷。
4. 临时解决方案：生产环境无法升级时，配置 Host 白名单，紧急止损。
5. 长治久安：遵守不信任客户端输入的开发原则，禁止直接使用请求头中的 Host 值，改用配置文件的固定域名。

近期已有公开的利用脚本，公网部署的 Java 应用请务必尽快完成修复，避免安全风险。