Spring Cloud Function現RCE 0-day漏洞

banq發表於2022-03-27
SpringCloudFunction

近日，Spring Cloud Function 官方測試用例曝光了 Spring Cloud Function SPEL 表示式注入漏洞，可利用該漏洞通過注入 SPEL 表示式來觸發遠端命令執行。
Spring Cloud Function 是一個基於 Spring Boot 的函式計算框架。通過抽象傳輸細節和基礎設施，為開發者保留熟悉的開發工具和開發流程，讓開發者專注於實現業務邏輯，從而提高開發效率。
 
Spring Cloud Function 是一個具有以下高階目標的專案：
  • 通過函式促進業務邏輯的實現。
  • 將業務邏輯的開發生命週期與任何特定的執行時目標分離，以便相同的程式碼可以作為 Web 端點、流處理器或任務執行。
  • 支援跨無伺服器提供商的統一程式設計模型，以及獨立執行（本地或在 PaaS 中）的能力。
  • 在無伺服器提供程式上啟用 Spring Boot 功能（自動配置、依賴注入、指標）。

它抽象出所有傳輸細節和基礎設施，允許開發人員保留所有熟悉的工具和流程，並專注於業務邏輯。

目前，Spring Cloud Function 已被許多科技巨頭採用，包括 AWS Lambda、Azure、Google Cloud Functions、Apache OpenWhisk，可能還有其他“無伺服器”服務提供商。

該漏洞已被歸類為嚴重，CVSS 得分為 9.0（滿分 10）。 
好訊息是，只有 Spring Cloud Function 的某些版本特定配置（版本 3 <= 版本 <= 3.2.2）的動態路由受到影響。  
壞訊息是 SpEL 表示式有各種變體，例如 charset 和 replace，並且 在撰寫本文時還沒有正式釋出 新版本。此外，針對此嚴重漏洞的 Exploit 已在 Internet 上提供。

 

相關文章