转载

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

0x00 漏洞概览

漏洞名称：Spring Integration Zip不安全解压

漏洞编号：CVE-2018-1261

漏洞级别：严重（官方定级，比高危还高）

漏洞危害：在spring-integration-zip.v1.0.1.RELEASE之前的版本中，恶意用户通过在压缩文件中构造包含有特定文件名称的文件（受影响文件格式有bzip2, tar, xz, war, cpio, 7z），应用程序使用spring-integration-zip进行解压时，会导致跨目录任意写入文件漏洞的攻击。进而有可能被Getshell，远程控制。

漏洞加固：更新升级，zip.v1.0.2.RELEASE版本

漏洞利用前置条件：

1.使用了spring-integration-zip库

2.接收并解压了来自不可信来源的压缩文件

0x01 漏洞分析 补丁比对

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

zip.v1.0.1.RELEASE在UnZipTransformer调用ZipUtil.iterate()时定义的回调中增加了一段对文件名称校验的代码片段（在5月11日凌晨更新的zip.v1.0.2.RELEASE版本中，对Byte[]类型的分支逻辑也增加了文件名称校验，并且删除了对名称中..的判断，直接校验名称是否以工作区目录开头）。

通过上述内容我们大致可以猜测这个漏洞的原理：攻击者可以通过构造一个包含名称带../前缀的文件的压缩包，使spring-integration-zip进行解压时该文件跳出解压目录被创建。

而且在zip.v1.0.1.RELEASE也增加了对这类压缩包的测试用例，并且十分贴心的附上了一个“恶意”的压缩包测试文件zip-malicious-traversal.zip。

我们先看看这个压缩包长什么样子：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

稍微说明一下：

1.右上，压缩包正常打开的目录结构

2.右下，压缩包的文本形式数据

3.左，压缩包解压后的目录结构

从文本数据中不难看出，这个压缩包中存在一个以很多../开头为名称的文件evil.txt。以压缩工具打开查看时，它以目录树形式显示，而解压后最深层的有效目录及文件被提取至根目录（说明使用的这个工具不存在这类解压漏洞）。

这样就可以很清楚的知道，这个压缩包如果被zip.v1.0.0.RELEASE解压，evil.txt文件将会被写入工作区目录对应盘符下的tmp目录中。

搭个调试环境跑起来看看。

0x02 环境搭建

1.IDE：IDEA

2.JDK：1.7

3.Libraries

spring-integration-zip.1.0.0.RELEASE

spring-integration-core.4.3.10.RELEASE

spring-integration-file.4.3.10.RELEASE

zt-zip.1.11

关键代码如下（参考官方测试用例即可）：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

流程跟踪

流程很简单，示例中的UnZipTransformer.transform()会调用doZipTransform()解压，在遍历压缩包内目录及文件时，回调ZipEntryCallback.process()对其进行处理。

当遍历到evil.txt时，它被识别为一个文件，而并不是多层的目录结构，那一堆乱七八糟的只是它的文件名：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

而对正常压缩包遍历到目录时应该是这样的：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

然后根据文件名在工作区目录中创建对应文件（子目录会在遍历时被提前创建），并调用org.apache.commons.io包中的IOUtils.copy()复制文件数据。

此时，解压的文件名被转换为绝对路径：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

程序运行结束，查看E:/tmp/目录下发现evil.txt文件（由于Win操作系统默认没有/tmp目录，因此我在测试前提前创建了一个，也可以直接使用已存在目录，如Web Root:P）：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

0x03 POC生成 知道了漏洞原理后，我们比较好奇的是如何生成这种特殊的压缩文件，已知方法有（如果有更方便的方法，请告诉我）：

1.用二进制数据构造符合压缩包数据结构的文件

2.使用spring-integration-zip压缩

我们用方法2做个测试，关键代码如下：

Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析 Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析 Spring Integration Zip不安全解压（CVE-2018-1261）漏洞分析

可以看到hw.txt跳出解压目录外层来了，OK，打完收工。

参考

https://pivotal.io/security/cve-2018-1261

https://github.com/spring-projects/spring-integration-extensions/

原文  http://liehu.tass.com.cn/archives/1392
正文到此结束
所属分类： Spring

热门推荐

相关文章

阿里云首购8折
说给你听

本文目录
随机标签
书籍教程
springboot-demo Java入门教程 bootstrap3 CSS Apache基础教程 php ionic 教程 Python mysql教程 eclipse Ubuntu VPS系统配置 AngularJS 教程 MongoDB教程 Struts2教程 Redis教程 Spring教程 Git教程 Jenkins进阶系列 openfire参考指南 Java设计模式 HBase教程 Maven教程 hibernate教程 Docker 教程 memcached教程 Quartz指南 Hive教程 Ant教程 ANTLR教程 SpringCloud java实例教程 springcloud-demo XStream教程 Hazelcast教程 Elastic-Job-Lite 深入浅出MyBatis SVN教程 ibaties教程 rabittmq教程 solr教程 Hadoop教程 WebService CXF学习 JPA教程 ActiveMQ中文指南 java-demo Java内存模型 dubbo教程 python3-demo Linux入门视频教程
近期评论
  1. 1 Spring Cloud Consul实现选举机制
  2. 2 Spring Boot集成ShedLock实现分布式定时任务
  3. 3 利用oss进行数据库和网站图片备份
  4. 4 Spring Cloud Stream实现数据流处理
  5. 5 Python3访问MySQL数据库快速入门Demo
  6. 6 Github开源项目作者可以免费申请 JetBrains 全家桶
  7. 7 Spring Cloud Vault快速入门Demo
  8. 8 Spring Cloud Gateway快速入门Demo
  9. 9 Spring Cloud Contract快速入门Demo
  10. 10 Spring Cloud Consul快速入门Demo
网站信息
  • 文章总数：82,714 篇
  • 文件总数：284,287 个
  • 标签总数：2,393 个
  • 分类总数：85 个
  • 留言数量：2,560 条
  • 在线人数：664 人
  • 运行天数：4,408天
  • 最后更新：2024年11月21日19点
Loading...

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

[HBLOG]公众号 HBLOG HBLOG