Spring Cloud Function SpEL表达式命令注入CVE-2022-22963漏洞复现及分析

漏洞概述

SpringCloud 是一套分布式系统的解决方案，常见的还有阿里巴巴的dubbo，Fass（Function As A Service ）的底层实现就是函数式编程，在视频转码、音视频转换、数据仓库ETL等与状态相关度低的领域运用的比较多。开发者无需关注服务器环境运维等问题上，专注于自身业务逻辑实现即可。

SpringCloud Function 就是Spring提供的分布式函数式编程组件。

漏洞复现

使用了github上已有的环境https://github.com/cckuailong/spring-cloud-function-SpEL-RCE
clone到本地后需要修改版本到java17

修改后build项目，访问8080端口
spring.cloud.function.routing-expression头中包含的SpEL表达式将会被执行

漏洞分析

通过diff可以发现开发者使用了SimpleEvaluationContext进行SPEL解析，而在此前版本中使用StandardEvaluationContext。
https://github.com/spring-cloud/spring-cloud-function/commit/0e89ee27b2e76138c16bcba6f4bca906c4f3744f

SpEL表达式

http://itmyhome.com/spring/expressions.html
Spring表达式语言（简称SpEl）是一个支持查询和操作运行时对象导航图功能的强大的表达式语言. 它的语法类似于传统EL，但提供额外的功能，最出色的就是函数调用和简单字符串的模板函数。

SpEL可以字符串之间进行嵌套也可以单独使用，嵌套时使用#{}(实现ParserContext接口)。

functionRouter

如果设置为functionRouter则默认路由绑定的具体函数交由用户进行控制，在 Spring Cloud Function Web里面，可以通过设置http头的方式来控制，使用spring.cloud.function.deFinition 和spring.cloud.function.routing-expression 都可以，区别是后者允许使用Spring表达式语言（SpEL）。

比如我用spring.cloud.function.deFinition或者用路由去访问响应具体函数效果是一样的

流程分析

SpringCloud Function之所以能自动将函数建立http端点，是因为在包mvc.FunctionController中使用/** 监听了get/post类型的所有端点。

当一个请求进入时，程序首先基于Springboot的自动配置，将配置文件注入到functionProperties，随后将以“WebRequestConstants.handler”为key，function为值添加到request数组里面。

然后进入FunctionController，Controller首先会将请求使用wrapper进行包装，wrapper就是将request转成FunctionInvocationWrapper 格式。

其中functionDefiniton=”functionRouter”，经过判断是否是RoutingFunction，然后执行function.apply

if (function.isRoutingFunction()) {
	function.setSkipOutputConversion(true);
}

然后在apply里会进入doapply，输入为input包含header里的所有信息

在route方法里获取spring.cloud.function.deFinition和spring.cloud.function.routing-expression的值判断是否为空，然后进入else if分支，将值传给functionFromExpression

然后这里会使用标准的StandardEvaluationContext对header的值进行SpEL表达式解析

补丁分析

commit：https://github.com/spring-cloud/spring-cloud-function/commit/0e89ee27b2e76138c16bcba6f4bca906c4f3744f
将StandardEvaluationContext替换为了SimpleEvaluationContext

SpEL 提供的两个 EvaluationContext ，区别如下：

SimpleEvaluationContext - 针对不需要 SpEL 语言语法的全部范围并且应该受到有意限制的表达式类别，公开 SpEL 语言特性和配置选项的子集。
StandardEvaluationContext - 公开全套 SpEL 语言功能和配置选项。您可以使用它来指定默认的根对象并配置每个可用的评估相关策略。
SimpleEvaluationContext 旨在仅支持 SpEL 语言语法的一个子集。它不包括 java类型引用、构造函数和 bean引用。所以说指定正确 EvaluationContext ，是防止SpEl表达式注入漏洞产生的首选。方法如下：

String expression = request.getParameter("message");
ExpressionParser parser = new SpelExpressionParser();
Expression exp = parser.parseExpression(expression);
StandardEvaluationContext context = SimpleEvaluationContext.forReadOnlyDataBinding().withRootObject().build();
String message = exp.getValue(context, String.class);
exp.setValue(context, "Hello");

利用工具

https://github.com/chaosec2021/Spring-cloud-function-SpEL-RCE

看了下代码用java.lang.Runtime).getRuntime().exec()执行bash反弹shell
也可以用processbuilder来执行命令，例如
new ProcessBuilder('/System/Applications/Calculator.app/Contents/MacOS/Calculator').start()

参考

https://www.jianshu.com/p/04bc9f482b43
https://mp.weixin.qq.com/s/AVvyKjRz_XooIB0s1S8njA
https://github.com/vulhub/vulhub/blob/master/spring/CVE-2022-22963/README.zh-cn.md
https://www.cnblogs.com/9eek/archive/2022/04/07/16113603.html
https://blog.51cto.com/u_9652359/5187423