TongWeb历史补丁分析及利用方法

应用服务器 TongWeb v7 全面支持 JavaEE7 及 JavaEE8 规范，作为基础架构软件，位于操作系统与应用之间，帮助企业将业务应用集成在一个基础平台上，为应用高效、稳定、安全运行提供关键支撑，包括便捷的开发、随需应变的灵活部署、丰富的运行时监视、高效的管理等。

参考[1]，TongWeb7 提供三种管理工具，分别是管理控制台和第三方 JMX 工具 JConsole 还有命 令行。管理控制台和命令行提供应用组件和资源的管理等功能，JConsole是基于 JMX 的 GUI 工具，提供 JVM、MBeans 等信息。

TongWeb7应用服务器目录结构说明:

• SR-001

TongWeb7041至7045产品补丁升级说明

升级包提交日期：2022.06.09升级包名称：TongWeb7041_LD5_001.zipTongWeb7042_LD5_002.zipTongWeb7043_LD5_003.zipTongWeb7044_LD5_004.zipTongWeb7045_LD5_005.zip产品：TongWeb7版本号：TongWeb7041TongWeb7042TongWeb7043TongWeb7044TongWeb7045补丁号：TongWeb7041_LD5_001TongWeb7042_LD5_002TongWeb7043_LD5_003TongWeb7044_LD5_004TongWeb7045_LD5_005补丁说明：TongWeb7041_LD5_001补丁适用于TongWeb7.0.4.1TongWeb7042_LD5_002补丁适用于TongWeb7.0.4.2TongWeb7043_LD5_003补丁适用于TongWeb7.0.4.3TongWeb7044_LD5_004补丁适用于TongWeb7.0.4.4TongWeb7045_LD5_005补丁适用于TongWeb7.0.4.5升级包解决的问题：1.修复Log任意下载漏洞；2.修复管理控制台未授权访问漏洞；3.修复命令执行漏洞；4.修复console存在命令行执行漏洞；5.修复任意文件删除漏洞；6.修复访问日志-任意文件写入&路径穿越漏洞；

漏洞细节已发小密圈，扫描文末二维码加入

• Log任意下载

Diff漏洞版本和补丁发现在Logfinder#downloadLog方法新增了校验，判断文件名必须以.log结尾且包含server字符串。

该方法的调用位于LogShowController#downloadLog，接收前端传递的names参数传入方法的调用。

漏洞利用

由于在读取文件前会判断路径和原有的日志路径是否一致，因此只能读取日志目录下的文件（/data/TongWeb{version}/logs/），返回的是一个压缩包文件。

• 未授权访问漏洞

Diff漏洞版本和补丁发现在SecurityController#saveUser方法新增了鉴权和授权的判断，猜测该方法可能存在未授权调用的地方可添加用户。

• 命令执行漏洞

实际上这是一个Spring框架的HttpInvokerServiceExporter反序列化漏洞，因为默认就是通过读取请求输入流进行反序列化所以导致的漏洞，而补丁则新增了白名单，只允许反序列化白名单内的包下的类。

远程调用的配置（applications/console/WEB-INF/classes/service-remotecall.xml）：

// 白名单列表privatestatic final String[] whitelist = new String[] {"org.springframework.remoting.support.RemoteInvocation","[Ljava.lang", "[B", "com.tongweb","java.util", "java.lang", "javax.management" };

漏洞利用

URLDNS

• 日志任意文件写入漏洞

补丁的修复了com.tongweb.console.webcontainer.controller.AccessLogController#update在更新日志时对某些属性的检查，例如不允许日志文件日期格式包含X-Forwarded-For，不允许日志模式包含X-Forwarded-For，对日志文件名的前缀和后缀进行检查。

对于前缀和后缀的检查：

AccessLogController#update最终会调用AccessLogService#updateAccessLog方法通过JMX更新属性。

调用JMXUtil#setAttributes设置属性：

漏洞利用方式参考Spring框架数据绑定的RCE（CVE-2022-22965），实际情况下该漏洞需要经过Console的鉴权是一个后台漏洞，并且修改日志格式化会对业务造成影响，故鸡肋。