CVE-2022-22978-demo

CVE-2022-22978 脆弱性のサンプルコード

利用条件

高危（High）に分類されているものの、利用条件はかなり厳しく、この脆弱性はあまり有用ではないと個人的に感じています。

1. まず、spring-security が脆弱性の影響範囲内にあること
2. 次に、spring-security の正規表現マッチャー regexMatchers または RegexRequestMatcher を直接使用し、かつパスに . を使ってマッチさせていること。例えば以下のような場合：
   • regexMatcher("/api/.*") // /api 以下のすべてのサブパスを許可
   • regexMatcher("/files/.*\\.jpg") // .jpg で終わるファイルリクエストすべてにマッチ
   • regexMatcher("/user/.*/profile") // /user 以下の任意のユーザー名の profile パスを許可
3. 実際にはこのようなケースは稀です。例えば regexMatcher("/api/.*") のようなパスがある場合、さらに @RequestMapping("/api/*") アノテーションを持つコントローラーが存在し、/api 以下のすべてのパスリクエストを処理する必要があります。そうでなければ、%0a%0d を使って spring-security のパスマッチングルールをバイパスしても、404 エラーが発生します。

利用デモ

通常のパスにアクセスすると、すべて spring-security が提供するデフォルトのログインページにリダイレクトされます。

次の URL にアクセス：http://127.0.0.1:8080/admin/admin%0a、ログインバイパスに成功します。

次の URL にアクセス：http://127.0.0.1:8080/hello%0a すべてのパスで必要とされるログインのセキュリティチェックをバイパスしますが、@RequestMapping("/hello/*") アノテーションを持つコントローラーがないため、マッピングに失敗し、404 エラーが発生します。