SpEL DoS漏洞CVE-2022-22950的前提条件？

Question

我对CVE-2022-22950和相应的Spring建议有点困惑。后者表示，可以通过以下方式利用该漏洞：

[…]巧尽心思构建的SpEL表达式[…]

但是，允许用户制作SpEL表达式的应用程序允许这些用户做几乎任何事情。包括代码注入，它对机密性、完整性和可用性有充分的影响。这里还有很多其他DoS机会。以这个SpEL片段为例，它执行pwd命令：

T(java.lang.Runtime).getRuntime().exec("pwd")

这个命令是相当无害的，但它可以被任何东西替代！现在，SpEL支持不同的EvaluationContext，可用于限制SpEL表达式中允许的内容。E、 g.SimpleEvaluationContext禁止类型表达式，如上面的SpEL代码片段中的表达式。

这就引出了两组问题：

>

CVE-2022-22950是否与对受污染的SpEL表达式使用无限制的计算上下文的应用程序相关
例如，应用程序对所选用户（如管理员）的信任程度足以允许他们执行任意代码？或者，理想情况下，是否有额外的沙盒措施
在这种情况下（尽管可能有问题），此DoS漏洞似乎不会给游戏添加任何新内容。改进安全建议并警告不要在许可的评估上下文中处理用户控制的SpEL代码，这有意义吗？

CVE-2022-22950真的需要“特制的SpEL表达式”吗
或者攻击者是否可以通过手工制作数据来利用此DoS漏洞，这些数据将由无害的SpEL表达式处理？E、 g.向使用硬编码SpEL表达式处理查询参数的web应用程序发送一长串查询参数
当我查看代码更改时，似乎手工制作数据就足够了？如果是这样，则应调整安全咨询的措辞！




Answer 1

查看原始咨询（中文翻译）-https://4ra1n.love/post/Xrym_ZDj3/

似乎利用此漏洞确实需要评估任意SpEL表达式。但是-即使在使用通常被认为是安全的（或至少比Evalue ationContext更安全）的SimpleEvalue ationContext时，它也允许DoS，例如即使在评估任意表达式时也不允许RCE。但是有了这个漏洞，它将允许DoS。

公告中显示的易受攻击的代码-

SpelExpressionParser parser = new SpelExpressionParser();
Expression expr = parser.parseExpression("new int[1024*1024*1024][2]");
SimpleEvaluationContext context = SimpleEvaluationContext.forReadOnlyDataBinding().build();
expr.getValue(context);