技术解读 | SpEL表达式注入漏洞分析、检查与防御-电子发烧友网

在安全角度来看外部来源的数据，均应视为不可信数据，对外部数据，其包含的所有信息都须经过校验或者过滤，再向下游服务进行传递。若无防护手段，攻击者可以通过构造恶意输入，对服务进行攻击。程序中如果使用未经校验的输入构造SpEL语句，就有可能造成SpEL表达式注入漏洞。部分SpEL表达式注入漏洞CVSS3.x 评分极高，nvd认定为高危漏洞，具有高致命性。

一、SpEL表达式介绍

Spring表达式语言（Spring Expression Language，SpEL）是 Spring Framework的核心技术之一，其支持在运行时查询和操作对象图。SpEL语法类似于Unified Expression Language，但提供了更加丰富的功能，最特别的是方法调用与字符串模板功能。SpEL主要支持以下功能：

文字表达式
布尔和关系运算符
正则表达式
类表达式
访问properties, arrays, lists, maps
方法调用
关系运算符
参数
调用构造函数
Bean引用
构造Array
内嵌lists
内嵌maps
三元运算符
变量
用户定义的函数
集合投影
集合筛选
模板表达式

SpEL功能强大，可以操作类和方法：

引用方法：dog.run()
引用静态方法：T(java.lang.Math).PI
类实例化：使用new实例化对象，类名必须是全限定名，java.lang包内的除外如Integer、String等
变量定义及赋值引用

在解析SpEL之后，获取表达式结果时，可以指定表达式的上下文对象：EvaluationContext

StandardEvaluationContext（默认）：支持全套SpEL语言和功能配置选项，功能强大但存在隐患
SimpleEvaluationContext：仅支持SpEL语法的子集，不包括Java类型引用，构造函数和bean引用，功能相对简单但是安全

二、SpEL表达式注入漏洞

历史报告的大部分SpEL漏洞大多涉及不受信任的用户输入的情况，恶意攻击者可能利用SpEL实现任意代码执行、拒绝服务等攻击，与SpEL相关的部分CVE漏洞见表1。

表1部分SpEL注入CVE漏洞

常见的SpEL注入攻击流程如图 1所示，漏洞的基本条件有：1.使用StandardEvaluationContext；2. 未对输入的SpEL进行校验；3. 对表达式调用了getValue()或setValue()方法。当满足上述条件时，就给了攻击者可乘之机。

图1常见的SpEL注入攻击流程

三、漏洞实例

| 3.1CVE-2022-22963 Spring Cloud FunctionSpEL注入漏洞

|3.1.1基本信息

漏洞id：

CVE-2022-22963

漏洞简介：

在Spring Cloud Function 相关版本，存在SpEL表达式注入。恶意攻击者无需认证可通过构造特定的 HTTP 请求头注入 SpEL 表达式，最终执行任意命令，获取服务器权限。

漏洞发布地址：

https://nvd.nist.gov/vuln/detail/cve-2022-22963

漏洞安全级别：

高

漏洞代码仓地址：

https://github.com/spring-cloud/spring-cloud-function

漏洞补丁提交地址：

https://github.com/spring-cloud/spring-cloud-function/commit/0e89ee27b2e76138c16bcba6f4bca906c4f3744f

漏洞影响包版本：

3.0.0 <= Spring Cloud Function <= 3.2.2

|3.1.2Spring Cloud Function介绍

Spring Cloud Function 是基于 Spring Boot 的函数计算框架。它提供了一个通用的模型，用于在各种平台上部署基于函数的软件，包括像 Amazon AWS Lambda 这样的 FaaS（函数即服务，function as a service）平台。该项目致力于促进函数为主的开发单元，它抽象出所有传输细节和基础架构，并提供一个通用的模型，用于在各种平台上部署基于函数的软件。

|3.1.3CVE-2022-22963漏洞攻击路径

使用spring-cloud-function-web的Spring boot 应用，通过设置Message Headers来传达路由指令，也可以在请求头中指定spring.cloud.function.definition 或spring.cloud.function.routing-expression作为应用程序属性，允许使用 Spring 表达式语言。

当在application.properties中设置spring.cloud.function.definition=functionRouter从而将默认路由绑定具体函数由用户进行控制。

攻击者调用/functionRouter接口，并在请求头的spring.cloud.function.routing-expression中使用攻击性的SpEL语句，服务端就会解析SpEL并执行。

漏洞攻击图示如图 2所示。

图2CVE-2022-22963漏洞攻击路径

|3.1.4CVE-2022-22963漏洞修复方式

该漏洞主要从四处进行了修复：

（1）声明一个SimpleEvaluationContext，专用作来自header的SpEL的解析；

（2）新增一个布尔变量isViaHeader，用于标记当前Expression是否来自Header；

（3）如果是从Header中获取的spring.cloud.function.routing-expression表达式，isViaHeader为true ；

（4）isViaHeader为true时，expression.getValue指定使用headerEvalContext。

如图 3所示。

图3CVE-2022-22963漏洞修复

| 3.2CVE-2022-22980 Spring DataMongoDBSpEL表达式注入漏洞

|3.2.1基本信息

漏洞id：

CVE-2022-22980

漏洞简介：

Spring Data for MongoDB是 Spring Data 项目的一部分，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特征和功能。Spring Data MongoDB应用程序在对包含查询参数占位符的SpEL表达式使用@Query或@Aggregation注解的查询方法进行值绑定时，如果输入未被过滤，则容易受到SpEL注入攻击。

漏洞发布地址：

https://nvd.nist.gov/vuln/detail/CVE-2022-22980

漏洞安全级别：

高(CVSS3.x: 9.8)

漏洞代码仓地址：

https://github.com/spring-projects/spring-data-mongodb

漏洞补丁提交地址：

3.3.xhttps://github.com/spring-projects/spring-data-mongodb/commit/7c5ac764b343d45e5d0abbaba4e82395b471b4c43.4.xhttps://github.com/spring-projects/spring-data-mongodb/commit/5e241c6ea55939c9587fad5058a07d7b3f0ccbd3

漏洞影响包版本：

Spring DataMongoDB== 3.4.0 3.3.0 <= Spring Data MongoDB <= 3.3.4 其他不维护的老版本

漏洞时间线：