欢迎来到Doc100.Net免费学习资源知识分享平台!
您的位置:首页 > 程序异常 >

springxml外部流入漏洞(cve-2013-4152)

更新时间: 2014-01-05 02:01:09 责任编辑: Author_N1

 

springxml外部注入漏洞(CVE-2013-4152)
8月22号spring爆了一个xml外部注入漏洞(CVE-2013-4152),漏洞链接: http://www.nsfocus.net/vulndb/24471
这个其实是一个比较老的xml注入漏洞,不仅仅是 java, php和python等一些语言的xml解析库都受影响。

简单描述就是:如果应用有这样的功能 —— 程序从外部获取用户控制的xml,并且解析这些xml,由于xml中可以定义对外部资源的引用,用户可以在xml中定义对系统重要文件的应用,这就有可能导致系统敏感文件内容的泄露。

其中的一个poc:
Spring的@Requestbody 注解就有可能产生这种问题。比如这么写一个controller:
@Controller
publicclassHomeController {
  
    @RequestMapping(value="/home",method= RequestMethod.POST,consumes = "application/xml")
    publicModelAndView home(@RequestBody User user) {
//     System.out.println(user);
       returnnewModelAndView("home", "message",user.getUserName());
    }
} 


User是一个javabean:
import javax.xml.bind.annotation.XmlElement;
importjavax.xml.bind.annotation.XmlRootElement;
  
@XmlRootElement(name = "user")
publicclass User{
    privateString userID;
    privateString userName;
  
    @XmlElement
    publicString getUserID() {
       returnuserID;
    }
    publicvoidsetUserID(String userID) {
       this.userID =userID;
    }
    @XmlElement
    publicString getUserName() {
       returnuserName;
    }
    publicvoidsetUserName(String userName) {
       this.userName =userName;
    }
} 


ser是从@RequestBody直接转换过来,@RequestBody可以将http request 正文中的 xml,json 等直接转换成spring 内部对象,比如以上代码就是直接将post请求中的xml转换成user对象。
当用curl post提交以下请求时,便可以直接读取本地系统文件的内容(c:\\windows\\win.ini)。如下图:




修复方式:
升级spring
上一篇:上一篇
下一篇:下一篇

 

随机推荐程序问答结果

 

 

如对文章有任何疑问请提交到问题反馈,或者您对内容不满意,请您反馈给我们DOC100.NET论坛发贴求解。
DOC100.NET资源网,机器学习分类整理更新日期::2014-01-05 02:01:09
如需转载,请注明文章出处和来源网址:http://www.doc100.net/bugs/t/4567/
本文WWW.DOC100.NET DOC100.NET版权所有。