Spring Cloud Function SpEL表达式RCE漏洞复现分析

由于Spring Cloud Function中的SpEL表达式（Spring Expression Language）是一个强大的表达式解析器，它也被用于动态地执行代码。在一些特定的情况下，攻击者可以通过向应用程序提交特制的输入来执行任意的代码。

这个漏洞是由于Spring Cloud Function在处理来自HTTP请求的输入时，未能正确地隔离表达式求值的上下文，导致攻击者可以通过发送恶意构造的HTTP请求来执行恶意代码。

以下是一个简化的漏洞复现分析：

import org.springframework.expression.ExpressionParser;
import org.springframework.expression.spel.standard.SpelExpressionParser;
 
public class VulnerableFunction {
 
    public String execute(String input) {
        ExpressionParser parser = new SpelExpressionParser();
        // 假设input是由用户控制的，并且用于构造表达式
        String expression = "'" + input + "'";
        // 执行表达式
        String result = parser.parseExpression(expression).getValue(String.class);
        return result;
    }
 
    public static void main(String[] args) {
        VulnerableFunction function = new VulnerableFunction();
        // 攻击者可以提供恶意输入来执行任意代码
        String rcePayload = "T(java.lang.Runtime).getRuntime().exec('touch /tmp/success')";
        function.execute(rcePayload);
    }
}

在这个例子中，攻击者可以通过execute方法提供一个恶意构造的input，其中包含可以被SpEL解析并执行的代码。在这个例子中，是一个执行系统命令的表达式。

为了修复这个漏洞，可以采取以下措施：

1. 对输入进行严格的验证和清理，确保它不包含可以被解析为恶意表达式的数据。
2. 使用白名单策略来限制可以执行的表达式类型。
3. 使用最小权限原则，为运行时的应用程序提供最少必要的权限。
4. 更新到最新的安全版本，并应用官方推荐的安全最佳实践。

请注意，具体的修复步骤可能会根据实际使用的Spring Cloud Function版本和应用程序的具体情况而有所不同。