CVE-2022-22980 Spring Data MongoDB SpEL 表达式注入漏洞分析

作者：xxhzz@星阑科技PortalLab
原文链接：https://mp.weixin.qq.com/s/8zzXZgSwHAmte5t7KSDhdA

漏洞描述

6月20号，VMware发布安全公告，修复了spring Data MongoDB 组件中的一个SpEL表达式注入漏洞，该漏洞的CVSSv3评分为8.2，漏洞编号：CVE-2022-22980，漏洞威胁等级：高危。

Spring Data MongoDB应用程序在对包含查询参数占位符的SpEL表达式使用@Query或@Aggregation注解的查询方法进行值绑定时，若输入未被过滤，则易遭受SpEL注入攻击。该漏洞允许未经身份验证的攻击者构造恶意数据执行远程代码，最终获取服务器权限。

相关介绍

Spring Data for MongoDB是 Spring Data 项目的一部分，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特征和功能。Spring 表达式语言(简称SpEL)：是一个支持运行时查询和操作对象图的强大的表达式语言，也是一种简洁的装配Bean的方式，它通过运行期执行的表达式将值装配到Bean的属性或构造器参数中。

通过 SpEL 可以实现：通过 bean 的 id 对 bean 进行引用；调用方式以及引用对象中的属性；计算表达式的值；正则表达式的匹配。

利用范围

Spring Data MongoDB == 3.4.0

3.3.0 <= Spring Data MongoDB <= 3.3.4

更早或不再受支持的Spring Data MongoDB版本也受到此漏洞影响。

漏洞分析

环境搭建

此次采用threedr3am师傅的漏洞demo（https://github.com/threedr3am/learnjavabug/tree/master/spring/spring-data-mongodb-spel-CVE-2022-22980）进行复现分析。

动态调式

在调试之前查看一下demo中的DemoController，其构造的请求路径为/demo，请求参数为keyword。

根据diff(https://github.com/spring-projects/spring-data-mongodb/commit/7c5ac764b343d45e5d0abbaba4e82395b471b4c4?diff=split)记录发现，此次漏洞修复的主要位置在ParameterBindingJsonReader 类的 bindableValueFor 函数。

话不多说，先在org.springframework.data.mongodb.util.json.ParameterBindingJsonReader#bindableValueFor函数处打下断点。

将环境运行起来后开启debug模式。使用burp抓包并传入payload后，立即触发断点。

持续跟进，当第一次到达漏洞触发点时，发现并未成功触发payload。

继续跟进，发现在org.springframework.data.mongodb.util.json.ParameterBindingJsonReader#readBsonType函数中判断token的Type属性后，进入到UNQUOTED_STRING，在这里进行setCurrentName操作，value为id。

随后回到bindableValueFor函数，后续经过对value的处理，value由id变为了:#{?0}。

在value为:#{?0}后，会再次进入org.springframework.data.mongodb.util.json.ParameterBindingJsonReader#bindableValueFor函数。

在bindableValueFor函数中首先对tokenValue进行了赋值，随后对tokenValue进行PARAMETER_BINDING_PATTERN和EXPRESSION_BINDING_PATTERN规则匹配。

EXPRESSION_BINDING_PATTERN只能匹配 ?#{} 或者：#{}形式的字符串。

随后，将赋值交给binding，再通过substring取出占位符?0

接下来通过for循环将占位符和传入的payload进行替换。

同时通过PARAMETER_BINDING_PATTERN规则匹配成功后即认为是spel表达式格式，此时expression为传入payload。

执行this.evaluateExpression。

最终进入org.springframework.data.mongodb.repository.query.DefaultSpELExpressionEvaluator#evaluate函数，此时使用的是 StandardEvaluationContext 类型，包含了 SpEL 所有的功能。

此时的 SpEL表达式为之前构造的恶意攻击载荷，可成功命令执行。

漏洞复现

修复建议

目前此漏洞已经修复，受影响的用户建议尽快升级至官方修护版本：

Spring Data MongoDB 3.4.1或更高版本；

Spring Data MongoDB 3.3.5或更高版本。

下载链接：

https://github.com/spring-projects/spring-data-mongodb/tags

参考材料

1.https://tanzu.vmware.com/security/cve-2022-22980

2.https://xz.aliyun.com/t/11478

3.https://spring.io/blog/2022/06/20/spring-data-mongodb-spel-expression-injection-vulnerability-cve-2022-22980

---

本文由 Seebug Paper 发布，如需转载请注明来源。本文地址：https://paper.seebug.org/2004/