如何修复或规避Spring Boot项目中的CVE-2018-14335 H2安全漏洞？

一、漏洞通俗说明 #

CVE-2018-14335是H2数据库的远程代码执行漏洞，简单来说：
如果H2数据库开启了TCP远程服务（比如默认的9092端口），攻击者只要能连接到这个端口，就能通过构造恶意SQL语句，直接在你的服务器上执行任意操作——比如删除文件、窃取数据、甚至完全控制服务器。

触发漏洞的核心前提：

• 使用了1.4.198版本之前的H2数据库
• H2对外暴露了可访问的远程服务端口（TCP或Web控制台端口）

二、针对你的Spring Boot 2.6.6项目的修复方案 #

1. 确认并升级H2到安全版本 #

首先检查项目中实际依赖的H2版本，因为Spring Boot父依赖可能会覆盖你声明的版本：

• Maven项目执行：mvn dependency:tree | grep h2
• Gradle项目执行：./gradlew dependencies | grep h2

确保H2版本≥1.4.198（该版本已修复此漏洞），如果版本不足，手动指定最新安全版本：

Maven配置

<dependency>
    <groupId>com.h2database</groupId>
    <artifactId>h2</artifactId>
    <version>2.2.224</version> <!-- 替换为当前最新安全版本 -->
    <scope>runtime</scope>
</dependency>

Gradle配置

runtimeOnly 'com.h2database:h2:2.2.224' // 替换为当前最新安全版本

2. 彻底禁用H2远程服务 #

即使你已经关闭了Web控制台，H2默认可能仍启动TCP远程服务。通过数据库连接URL添加参数，强制H2仅运行在嵌入式模式：

application.properties配置

spring.datasource.url=jdbc:h2:mem:testdb;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=FALSE;NO_SERVER=TRUE

application.yml配置

spring:
  datasource:
    url: jdbc:h2:mem:testdb;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=FALSE;NO_SERVER=TRUE

NO_SERVER=TRUE会关闭所有远程服务端口，从根源上切断攻击者的访问路径。

3. 排查Nexus IQ误报 #

如果已经完成上述两步仍被提示漏洞，大概率是扫描工具误报：

• 检查Nexus IQ的漏洞库是否为最新版本，旧库可能未更新H2的修复记录
• 将已确认安全的H2版本添加到Nexus IQ的允许列表，排除该误报

4. 生产环境替换H2（可选） #

H2内存数据库仅适合开发/测试场景，生产环境建议替换为MySQL、PostgreSQL等生产级数据库，彻底规避内存数据库的安全风险。

内容的提问来源于stack exchange，提问作者Tristate