一文详解SpEL表达式注入漏洞-低调大师

一文详解SpEL表达式注入漏洞

2023-02-21 370

摘要：本文介绍了SpEL表达式以及常见的SpEL注入攻击，详细地介绍了部分漏洞攻击实例以及常用的漏洞检测与防御手段。

本文分享自华为云社区《SpEL表达式注入漏洞分析、检查与防御》，作者：华为云软件分析Lab。

在安全角度来看外部来源的数据，均应视为不可信数据，对外部数据，其包含的所有信息都须经过校验或者过滤，再向下游服务进行传递。若无防护手段，攻击者可以通过构造恶意输入，对服务进行攻击。程序中如果使用未经校验的输入构造SpEL语句，就有可能造成SpEL表达式注入漏洞。部分SpEL表达式注入漏洞CVSS3.x 评分极高，nvd认定为高危漏洞，具有高致命性。

1 SpEL表达式介绍

Spring表达式语言（Spring Expression Language，SpEL）是 Spring Framework的核心技术之一，其支持在运行时查询和操作对象图。SpEL语法类似于Unified Expression Language，但提供了更加丰富的功能，最特别的是方法调用与字符串模板功能。SpEL主要支持以下功能：

文字表达式
布尔和关系运算符
正则表达式
类表达式
访问 properties, arrays, lists, maps
方法调用
关系运算符
参数
调用构造函数
Bean引用
构造Array
内嵌lists
内嵌maps
三元运算符
变量
用户定义的函数
集合投影
集合筛选
模板表达式

SpEL功能强大，可以操作类和方法。

引用方法：dog.run()
引用静态方法：T(java.lang.Math).PI
类实例化：使用new实例化对象，类名必须是全限定名，java.lang包内的除外如Integer、String等
变量定义及赋值引用

在解析SpEL之后，获取表达式结果时，可以指定表达式的上下文对象：EvaluationContext

（默认）StandardEvaluationContext：支持全套SpEL语言和功能配置选项，功能强大但存在隐患
SimpleEvaluationContext：仅支持SpEL语法的子集，不包括Java类型引用，构造函数和bean引用，功能相对简单但是安全

2 SpEL表达式注入漏洞

历史报告的大部分SpEL漏洞大多涉及不受信任的用户输入的情况，恶意攻击者可能利用SpEL实现任意代码执行、拒绝服务等攻击，与SpEL相关的部分CVE漏洞见表 1。

表 1 部分SpEL注入CVE漏洞

常见的SpEL注入攻击流程如图 1所示，漏洞的基本条件有：使用StandardEvaluationContext，2. 未对输入的SpEL进行校验,3. 对表达式调用了getValue()或setValue()方法。当满足上述条件时，就给了攻击者可乘之机。

图 1 常见的SpEL注入攻击流程

3 漏洞实例

3.1 CVE-2022-22963 Spring Cloud Function SpEL注入漏洞

3.1.1 基本信息

3.1.2 Spring Cloud Function 介绍

Spring Cloud Function 是基于 Spring Boot 的函数计算框架。它提供了一个通用的模型，用于在各种平台上部署基于函数的软件，包括像 Amazon AWS Lambda 这样的 FaaS（函数即服务，function as a service）平台。该项目致力于促进函数为主的开发单元，它抽象出所有传输细节和基础架构，并提供一个通用的模型，用于在各种平台上部署基于函数的软件。

3.1.3 CVE-2022-22963漏洞攻击路径

使用spring-cloud-function-web的Spring boot 应用，通过设置Message Headers来传达路由指令，也可以在请求头中指定spring.cloud.function.definition 或spring.cloud.function.routing-expression作为应用程序属性，允许使用 Spring 表达式语言。

当在application.properties中设置spring.cloud.function.definition=functionRouter从而将默认路由绑定具体函数由用户进行控制。

攻击者调用/functionRouter接口，并在请求头的spring.cloud.function.routing-expression中使用攻击性的SpEL语句，服务端就会解析SpEL并执行。

漏洞攻击图示如图 2所示。

图 2 CVE-2022-22963漏洞攻击路径

3.1.4 CVE-2022-22963漏洞修复方式

该漏洞主要从四处进行了修复，（1）声明一个SimpleEvaluationContext，专用作来自header的SpEL的解析；（2）新增一个布尔变量isViaHeader，用于标记当前Expression是否来自Header；（3）如果是从Header中获取的spring.cloud.function.routing-expression表达式，isViaHeader为true ；（4）isViaHeader为true时，expression.getValue指定使用headerEvalContext。如图 3所示。

图 3 CVE-2022-22963漏洞修复

3.2 CVE-2022-22980 Spring Data MongoDB SpEL 表达式注入漏洞

3.2.1 基本信息

3.2.2 Spring Data for MongoDB 介绍

Spring Data for MongoDB是Spring Data的一个子模块。目标是为MongoDB提供一个相近的一致的基于Spring的编程模型。其核心功能是映射POJO到Mongo的DBCollection中的文档，并且提供Repository 风格数据访问层。主要特性有：

• Spring 配置支持：使用基于 Java 的 @Configuration 类或基于 XML 命名空间的配置来驱动 Mongo 实例和副本

• MongoTemplate 辅助类：可提高执行常见 Mongo 操作的效率，包括文档和 POJO 之间的集成对象映射

• 异常处理：异常转换为 Spring 的可移植的数据访问异常层次结构

• 功能丰富的对象映射与 Spring 的转换服务集成

• 基于注释的映射元数据、并且可扩展以支持其他元数据格式

• 持久化和映射生命周期事件

• 使用 MongoReader/MongoWriter 抽象的低级映射

• 基于 Java 的查询、条件和更新 DSL

• Repository 接口的自动实现，包括对自定义查询方法的支持

• QueryDSL 集成以支持类型安全的查询，以及地理空间整合

• Map-Reduce 集成

• JMX 管理和监控

• 对存储库的 CDI 支持

• GridFS 支持

3.2.3 CVE-2022-22980漏洞攻击路径

图 4 CVE-2022-22980漏洞攻击路径

3.2.4 CVE-2022-22980复现

1）实验代码：learnjavabug

2）运行服务，com.threedr3am.bug.spring.data.mongodb.Application#main

3）Postman发送请求，如图 5所示

图 5 Postman填写参数示例

4）现象：计算器程序被执行

3.2.5 CVE-2022-22980修复方式

Spring Data for MongoDB在修复此漏洞时，重新实现evaluator，指定EvaluationContext类型，如图 6所示。

图 6 CVE-2022-22980修复方式

4 检测与防御手段

（1）对于SpEL表达式注入漏洞漏洞，可以使用静态分析工具进行代码检查，可以有效规避部分问题。

（2）在此类场景中，对于用户输入，应当仔细校验，检查用户输入的合法性，保障其内容为正常数据。且在端侧与服务侧均应对用户数据进行校验，对非受信用户输入数据进行净化，避免用户输入任意内容。

（3）及时更新Spring Framework版本，避免因版本老旧而被利用的问题发生。

（4）使用源码静态分析工具进行白盒自动化检测，在代码合入阶段、静态分析监控阶段及时发现相关问题。

文章来自：PaaS技术创新Lab，PaaS技术创新Lab隶属于华为云，致力于综合利用软件分析、数据挖掘、机器学习等技术，为软件研发人员提供下一代智能研发工具服务的核心引擎和智慧大脑。

PaaS技术创新Lab主页链接：https://www.huaweicloud.com/lab/paas/home.html

点击关注，第一时间了解华为云新鲜技术~

微信关注我们

原文链接：https://my.oschina.net/u/4526289/blog/8078684

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

云小课｜MRS基础原理之Flink组件介绍

阅识风云是华为云信息大咖，擅长将复杂信息多元化呈现，其出品的一张图(云图说)、深入浅出的博文(云小课)或短视频(云视厅)总有一款能让您快速上手华为云。更多精彩内容请单击此处。摘要：Flink是一个批处理和流处理结合的统一计算框架，其核心是一个提供了数据分发以及并行化计算的流数据处理引擎。它的最大亮点是流处理，是业界最顶级的开源流处理引擎。本文分享自华为云社区《【云小课】EI第44课 MRS基础原理之Flink组件介绍》，作者：阅识风云。 Flink是一个批处理和流处理结合的统一计算框架，其核心是一个提供了数据分发以及并行化计算的流数据处理引擎。它的最大亮点是流处理，是业界最顶级的开源流处理引擎。 Flink最适合的应用场景是低时延的数据处理（Data Processing）场景：高并发pipeline处理数据，时延毫秒级，且兼具可靠性。本课程为您介绍华为云MapReduce服务中Flink服务的基本原理介绍并展示如何通过MRS集群客户端提交Flink作业。图1 Flink技术栈 Flink重点构建如下特性： DataStream Checkpoint 窗口 Job Pipeli...

2023-02-21

384

大家好，这里是程序员晚枫。今天给大家分享一个来自Python官网的重要消息：Python3.7马上就要停止维护了，请不要使用了！官网链接：https://devguide.python.org/versions/ 停更的后果是什么？周末翻阅Python官网，发现了Python3.7马上就要停更的信息，为什么要分享给大家呢？最直接的作用：从现在开始，不建议大家继续使用3.7版本了为什么？说2个最重要的：站在小白的角度：大量的第三方库，将不再支持3.7，会使你下载失败，非常影响你的学习。比如我们的自动化办公专用库，python-office，目前只支持3.8~3.10。站在专业开发的角度：未来3.7版本出现安全漏洞，也不会受到修复，给本来就脆弱的Python系统，增加了更多的不确定性。应该用哪个版本呢？那日常工作和学习，应该使用哪个版本呢？下面这个图片，是目前各个版本的更新时间线：👇 整理出来是这样的表格，👇 从图中可以看出来，2023年的当下： 3.8~3.9，都是正常迭代和维护的security版本（安全），可以正常使用。下载链接：点我直达 3.10~3.11，...

2023-02-21

436

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。