CVE-2022-32532 认证绕过漏洞分析

news2024/12/28 6:45:18

前言

结合自身经历，在使用正则表达式去匹配流量特征时，由于正则表达式中元字符“.”不匹配换行符（\n、\r）导致一直提取不上所需的流量。而如今，之前踩过的坑却出现在了Apache
Shiro框架之中…

漏洞描述

6月29日，Apache 官方披露 Apache Shiro 权限绕过漏洞(CVE-2022-32532)，当 Apache Shiro 中使用
RegexRequestMatcher 进行权限配置，且正则表达式中携带“.”时，未经授权的远程攻击者可通过构造恶意数据包绕过身份认证。

利用范围

Apache Shiro < 1.9.1

漏洞分析

环境搭建

这里使用此漏洞提交者4ra1n 师傅的漏洞demo（https://github.com/4ra1n/CVE-2022-32532）进行复现分析。

漏洞原理

在漏洞分析之前，先了解一下相关漏洞产生原理。

在正则表达式中元字符.是匹配除换行符（\n、\r）之外的任何单个字符。

要匹配包括
\n 在内的任何字符，需使用像(.|\n)的模式。

结合4ra1n师傅的分析，在java中的正则默认情况下.也同样不会包含\n、\r字符，因此在一些场景中，使用正则.的规则就有可能被绕过。

新增Pattern.DOTALL模式后，正则表达式.就可以匹配任何字符包括换行符。

源码分析

结合shiro源码和漏洞场景分析，在shiro-core-1.9.0.jar中存在一个RegExPatternMatcher类

org.apache.shiro.util.RegExPatternMatcher.class。

RegexRequestMatcher和AntPathMatcher类似，提供请求路径匹配功能及拦截器参数解析的功能。而一般情况下RegexRequestMatcher类是不会在项目中出现，需要用户自己配置。

分析RegexRequestMatcher用于匹配的代码。

可以看到，这里正如上面漏洞原理分析的一样，pattern存在带.的正则表达式匹配，若source中存在\r或\n字符时，将判断错误。

而在4ra1n师傅构造的漏洞场景中。

自定义了Filter，增加权限认证场景：

1、判断请求头中的Token是否匹配。

2、如果不存在Token或者Token头错误则认为认证失败。

并且配置了自定义的AccessControlFilter实现类，并将 PatternMatcher配置为RegExPatternMatcher。

同时自定义MyShiroFilterFactoryBean。

继承自ShiroFilterFactoryBean类；设置匹配规则为/permit/.*字符串，表示需要拦截/permit/下所有的路径。

在自定义controller中，配置了/permit/{value}这样从路径取参数的路由和/permit/*这样的通配路由。

漏洞复现

当访问/permit/any，返回拒绝访问。

所以在如上满足使用了RegExPatternMatcher类，设置带有.的正则表达式等条件的场景下，利用该漏洞可实现权限认证绕过。

修复建议

参考漏洞影响范围进行排查，目前官方已发布修复补丁：https://github.com/apache/shiro/commit/6bcb92e06fa588b9c7790dd01bc02135d58d3f5b

最后

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，有需要的小伙伴，可以【扫下方二维码】免费领取：