漏洞预警|Spring Data MongoDB SpEL表达式注入漏洞

棱镜七彩安全预警

近日网上有关于开源项目Spring Data MongoDB 存在SpEL表达式注入的信息，棱镜七彩安全研究院对漏洞进行了POC验证。

 

项目介绍

Spring Data for MongoDB为Spring Data下的子项目，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特征和功能。

项目主页

https://spring.io/projects/spring-data-mongodb

代码托管地址

https://github.com/spring-projects/spring-data-mongodb

漏洞情况

Spring Data MongoDB为MongoDB提供接口服务，便于接入Spring软件生态中使用。当使用@Query或@Aggregation注解进行查询时，若通过SpEL占位符获取输入参数，并且未对用户输入进行有效过滤，则可能受该漏洞影响。在前述条件下，攻击者可利用该漏洞，构造恶意数据执行远程代码，最终获取服务器权限。

Cve编号

CVE-2022-22980

受影响的版本

Spring Data MongoDB：3.4.0

Spring Data MongoDB：3.3.0-3.3.4

影响组件及组件托管地址

影响组件：