转载

关于CVE-2018-1259-XXE漏洞复现

前提

最近Spring几连发的漏洞里有一个漏洞是CVE-2018-1259，地址是 https://pivotal.io/security/cve-2018-1259 ，根据我对描述的理解，这个锅不应该给Spring接啊，描述有一段话：

Spring Data Commons, versions prior to 1.13 to 1.13.11 and 2.0 to 2.0.6 used in combination with XMLBeam 1.4.14 or earlier versions contain a property binder vulnerability caused by improper restriction of XML external entity references as underlying library XMLBeam does not restrict external reference expansion.

描述中说Spring 的公用数据组件的1.13 到 1.13.11版本和2.0到2.0.6版本使用了XMLBeam 1.4.14 或更早的版本，它存在一个外部实体应用即XXE漏洞。问题出在XMLBeam身上，修复方式就是升级XMLBeam到1.4.15以上，这个锅Spring不应该背吧。

复现XMLBeam的XXE漏洞和分析

这个CVE应该给XMLBeam的，但是它的下载地址是 https://xmlbeam.org/download.html ，我们在GitHub找了一个使用XMLBeam的demo来进行漏洞复现和分析。

Demo地址：

https://github.com/olivergierke/spring-examples/tree/master/scratchpad/src

下载然后导入IDEA：

关于CVE-2018-1259-XXE漏洞复现

这个Demo代码有点小情况需要处理才能很好的跑起来，导入IDEA后，用Maven开始构建。在site使用插件运行时，它使用的是Jetty组件运行,这个情况就是怎么访问uri地址/customers 都是404，一直很纳闷。在折腾中，我发现用junit测试是OK的，能复现和调试漏洞。后来同事提到用Spring-boot运行就很OK。于是这里记录一下怎么改用Spring-Boot运行（现学现用）。

关于CVE-2018-1259-XXE漏洞复现

在上面的那个位置，添加SpringBoot启动代码，现在我们就可以右键直接run了。

关于CVE-2018-1259-XXE漏洞复现

现在我们可以简单阅读demo代码，理解如何测试，找到XmlBeamExample.java文件如下：

关于CVE-2018-1259-XXE漏洞复现

看看pom.xml确认一下XMLBeam的版本，用的是老版本1.4.6，目前最新的版本是1.4.14.

关于CVE-2018-1259-XXE漏洞复现

环境准备好了，我们开始下断点，和构造测试的POST请求，构造POC如下：

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<user>
    <firstname>&xxe;</firstname>
    <lastname></lastname>
</user>

根据代码，我们需要构造POST请求，构造一组参数，XMLBeam会根据参数map对应进行自动解析绑定。

先复现一下效果：

关于CVE-2018-1259-XXE漏洞复现

这个漏洞的根本原因是由于XMLBeam的用法不当，我们在XMLBeamd 库里找到创建XML解析实体对象的地方，如下截图：

关于CVE-2018-1259-XXE漏洞复现

上面的是1.4.6版本，从官方下载最新的1.4.14版本的jar包源码看看，同样存在问题的，如下截图：

关于CVE-2018-1259-XXE漏洞复现

官方目前没有挂出更新后的版本，在maven仓库里我们可以搜到，已经有里修复版本1.4.15，地址： http://mvnrepository.com/artifact/org.xmlbeam/xmlprojector 下载最新的版本后，再查看此处配置如下：

关于CVE-2018-1259-XXE漏洞复现

一些配置项如下：

关于CVE-2018-1259-XXE漏洞复现

从更新的代码来看，已经使用了开发语言提供的禁用外部实体的方法修复了这个XXE漏洞。

Spring官方的修复方式也是更新了这个库到1.4.15版本，

https://jira.spring.io/browse/DATACMNS-1311?jql=project%20%3D%20DATACMNS%20AND%20fixVersion%20%3D%20%221.13.12%20(Ingalls%20SR12)%22

收获

关于如何安全的使用和解析XML文本，可以看看下面给的参考文
知道了Spring Boot的这种启动方式，Jetty的坑，更加发现了Maven+IDEA配合的强大

参考

https://docs.spring.io/spring-data/commons/docs/current/reference/html/#core.web.binding
https://security.tencent.com/index.php/blog/msg/69
https://blog.csdn.net/qq_32331073/article/details/79941132
https://pivotal.io/security/cve-2018-1259

原文 http://www.polaris-lab.com/index.php/archives/524/

正文到此结束