『Java CVE』CVE-2022-22980: Spring Data MongoDB SpEL 注入

Ho1aAs

已于 2022-10-10 15:57:50 修改

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

分类专栏： # CVE 文章标签： mongodb spring java web安全 spel

于 2022-08-09 11:31:47 首次发布

本文链接：https://blog.csdn.net/Xxy605/article/details/126244053

CVE 专栏收录该内容

9 篇文章

订阅专栏

本文深入分析了Spring Data MongoDB中的CVE-2022-22980漏洞，详细介绍了其影响版本、工作原理、复现步骤及修复方案。读者将了解到如何利用恶意注解触发SpEL表达式注入。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

影响版本

Spring Data MongoDB: 3.3.0-3.3.4、3.4.0

漏洞原理

使用@Query或@Aggregation注解进行查询时，通过占位符获取输入参数可能会触发SpEL表达式解析

漏洞复现

环境配置

使用三梦师傅的环境

https://github.com/threedr3am/learnjavabug/tree/master/spring/spring-data-mongodb-spel-CVE-2022-22980

PoC

在这里插入图片描述

代码审计

demo里面构造了使用@query注解查询，参数直接通过注解处理，注解构造成以下格式

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-2boVeEBW-1660015540615)(CVE-2022-22980/image-20220803101116357.png)]

来到ParameterBindingJsonReader.bindableValueFor()处理注解，，因为是json形式，if判断通过，然后正则匹配?#{xx}或:#{xx}

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-qiVQgQbe-1660015540616)(CVE-2022-22980/image-20220803103114373.png)]

如果匹配成功，再查看占位符的值是不是?\d+的形式

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HmGKH4JI-1660015540616)(CVE-2022-22980/image-20220803103320481.png)]

如果是就进入evaluateExpression触发SpEL解析，这里完成了replace替换成我们输入的参数

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fDUFuAWA-1660015540617)(CVE-2022-22980/image-20220803104538378.png)]

最后在默认解析器解析，这里可以完成所有的SpEL功能

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yAaP3iKW-1660015540617)(CVE-2022-22980/image-20220803104655675.png)]

也就是说：当注解设置成以下形式时，会被判定为SpEL表达式：只要是json形式、无论键值对包含占位符即可

@Query("{xx: :#{?0} }")
@Query("{#{?0}: xx}")
@Query("{xx: ?#{?0} }")
......

同样的触发点在下面也有，UNQUOTED_STRING是判断注解值是否被引号包裹

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-LPzQZho8-1660015540618)(CVE-2022-22980/image-20220803103536378.png)]

那么这样也能触发

@Query("{'xx': ':#{?0}' }")

只要构造恶意注解来进行参数赋值，就能达到SpEL注入

补丁修复分析

修改了以下文件
在这里插入图片描述
首先就是对注解的过滤判断

其次就是替换了SpEL解析器，更安全解析

影响

需要特定格式的注解才能触发SpEL注入

参考

https://tanzu.vmware.com/security/cve-2022-22980
https://github.com/spring-projects/spring-data-mongodb/commit/7c5ac764b343d45e5d0abbaba4e82395b471b4c4#diff-49274f4ac571bc3fa537d508078619cb5cf8e5c7b138db84e46794197499a95c

完

欢迎关注我的CSDN博客：@Ho1aAs
版权属于：Ho1aAs
本文链接：https://ho1aas.blog.csdn.net/article/details/126244053
版权声明：本文为原创，转载时须注明出处及本声明