CVE-2022-22978-demo

Пример кода для уязвимости CVE-2022-22978

Условия эксплуатации

Хотя уязвимость классифицируется как высокая, условия её эксплуатации довольно строгие, лично я считаю эту уязвимость довольно ограниченной.

1. Во-первых, spring-security должен быть в зоне поражения уязвимости.
2. Во-вторых, необходимо использовать regexMatchers из spring-security или напрямую RegexRequestMatcher, причём с использованием точки . для сопоставления путей, например:
   • regexMatcher("/api/.*") // разрешить все подпути под /api
   • regexMatcher("/files/.*\\.jpg") // сопоставлять все запросы файлов, заканчивающихся на .jpg
   • regexMatcher("/user/.*/profile") // разрешить путь profile для любого имени пользователя в /user
3. На самом деле такая ситуация встречается редко. Например, если есть путь regexMatcher("/api/.*"), то также необходим контроллер с аннотацией наподобие @RequestMapping("/api/*"), который обрабатывает все запросы по указанному пути. Иначе даже если обойти правило соответствия путей spring-security с помощью %0a%0d, всё равно будет ошибка 404.

Демонстрация эксплуатации

При обычном доступе ко всем путям происходит перенаправление на страницу входа по умолчанию, предоставляемую spring-security.

Переход по адресу: http://127.0.0.1:8080/admin/admin%0a — успешный обход аутентификации.

Переход по адресу: http://127.0.0.1:8080/hello%0a — обход проверки безопасности, требующей аутентификации для всех путей, но из-за отсутствия контроллера с аннотацией @RequestMapping("/hello/*") сопоставление не удаётся, ошибка 404.