Spring Data Commons 远程命令执行漏洞-CVE-2018-1273.md

Spring Data Commons 远程命令执行漏洞（CVE-2018-1273）

漏洞描述

CVE-2018-1273：Spring Data是一个用于简化数据库访问，并支持云服务的开源框架，Spring Data Commons是Spring Data下所有子项目共享的基础框架。Spring Data Commons 在2.0.5及以前版本中，存在一处SpEL表达式注入漏洞，攻击者可以注入恶意SpEL表达式以执行任意命令

漏洞利用条件和方式

确认目标项目中包含Spring-data-commons包和版本范围如下

Spring Data Commons 1.13 to 1.13.10 Spring Data Commons 2.0 to 2.0.5 查看相关特性是否已经开启

• @ EnableSpringDataWebSupport被显示声明
• @ EnableSpringDataWebSupport没有显示声明，而是采用了spring-boot框架的自动扫描特性当采用Spring-boot的自动扫描特性的时候，在启动时会自动加载SpringDataWebConfiguration类效果与上述相同

在非注解声明项目中，如果有如下声明，也考虑开启了相关的特性

漏洞影响范围

• Spring Data Commons 1.13至1.13.10（Ingalls SR10）
• Spring Data REST 2.6至2.6.10（Ingalls SR10）
• Spring Data Commons 2.0至2.0.5（Kay SR5）
• Spring Data REST 3.0至3.0.5（Kay SR5）
• 较旧的不受支持的版本也会受到影响

漏洞复现

转送门

可利用CVE-2018-1273检测工具