安全漏洞 | 7月份月度安全漏洞报告

2022-08-04

近日，梆梆安全专家整理发布7月安全漏洞报告，主要涉及以下产品/组件：Spring Data MongoDBSpEL、Cisco Small Business、OpenSSL、Splunk Enterprise、WordPress WP SVG Icons插件，建议相关用户做好资产自查与预防工作。

1 Spring Data MongoDBSpEL

存在表达式注入漏洞

01 漏洞描述

Spring Data for MongoDB是Spring Data项目的一部分，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特征和功能。

VMware发布安全公告，修复了Spring Data MongoDB中的一个SpEL表达式注入漏洞（CVE-2022-22980）。

02 影响范围

5.Spring Data MongoDB == 3.4.0
3.3.0 <= Spring Data MongoDB <= 3.3.4

旧的、不受支持的版本也会受到影响。

03 漏洞分析

根据官方漏洞通告，Spring Data MongoDB应用程序在对包含查询参数占位符的SpEL表达式使用@Query或@Aggregation注解的查询方法进行值绑定时，如果输入未被过滤，则容易受到SpEL注入攻击。分析数据流发现该漏洞的核心逻辑位于如下代码中，ParameterBindingJsonReader类负责读取JSON并计算占位符和SpEL表达式。

org.springframework.data.mongodb.util.json.ParameterBindingJsonReader#bindableValueFor

这里有两种情况都可以触发，第一种是当token值（也就是json值）为UNQUOTED_STRING时，也就是json值没有使用引号的时候，另外一种是使用引号时。这两种情况比较类似，这里只分析无引号的情况。

下面代码出现了两个正则匹配的代码。第一个正则代码如下，只能匹配 ?#{} 或者：#{}形式的字符串：

匹配成功后则认为是spel表达式格式，然后此时expression是{}中的值，然后接着会判断是否满足 ?\d ，也就是？数字。只有符合这种格式才会使用getBindableValueForIndex提取传入的参数，这也是为什么临时修复措施中推荐使用[0]代替?0的原因。

在evaluateExpression中经过多层调用最终会解析执行spel表达式。因此当出现如下格式的注解时，如果参数没有过滤并且使用了存在漏洞的组件库就会造成rce：

04 修复建议

下面目前，VMware官方已发布漏洞修复补丁，建议用户尽快下载安装补丁程序或采取缓解措施。

1. 补丁升级

建议尽快升级至官方修护版本：

Spring Data MongoDB 3.4.1版本：

https://github.com/spring-projects/spring-data-mongodb/releases/tag/3.4.1

Spring Data MongoDB 3.3.5版本：

https://github.com/spring-projects/spring-data-mongodb/releases/tag/3.3.5

2. 缓解措施

（1）如果您的应用程序需要使用由用户输入控制的SpEL表达式，那么使用数组形式语法“[0]”引入SpEL参数而不是“?0”形式；

（2）实现自定义存储库方法，详见：https://docs.spring.io/spring-data/mongodb/docs/current/reference/html/#repositories.single-repository-behavior；

（3）通过BeanPostProcessor和受限的QueryMethodEvaluationContextProvider重新配置存储工厂bean；

（4）在调用查询方法时过滤用户输入内容。

2 Cisco Small Businesses

存在远程代码执行漏洞

01 漏洞描述

近日，Cisco 发布安全通告，修复了多款小型企业路由器的多个漏洞。Cisco Small Business RV110W、RV130、RV130W和RV215W路由器基于web的管理界面中存在漏洞，使得未经验证的远程攻击者能够执行任意代码或导致受影响的设备意外重启，从而导致拒绝服务（DoS）情况。

02 影响范围