CVE-2020-26945 mybatis二级缓存反序列化的分析与复现

0x01 简介

MyBatis 本是Apache的一个开源项目iBatis, 2010年这个项目由Apache Software Foundation 迁移到了Google Code，并且改名为MyBatis。MyBatis是一款优秀的持久层框架，它支持定制化SQL、存储过程以及高级映射。MyBatis避免了几乎所有的JDBC代码和手动设置参数以及获取结果集。MyBatis可以使用简单的XML或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Ordinary Java Object,普通的 Java对象)映射成数据库中的记录。

漏洞描述2020年10月6日，MyBatis官方发布了MyBatis 3.5.6版本，修复了一个远程代码执行漏洞，该漏洞编号为CVE-2020-26945。

利用条件

用户启用了二级缓存功能
攻击者可以修改缓存的内容，替换为恶意反序列化数据
用户未设置JEP-290过滤，且没有任何防御反序列化攻击的措施

0x02 分析

二级缓存其实就是将查询的结果，放入缓存中，下次查询相同的条件时，直接从缓存中获取结果，降低sql服务器的压力。如上图所示，二级缓存可以缓存在redis等kv数据库，也可以我们自己实现相关缓存。

如果我们需要自定义缓存，只需要集成如下接口即可


public interface Cache {
String getId();
int getSize();
void putObject(Object key, Object value);
Object getObject(Object key);
boolean hasKey(Object key);
Object removeObject(Object key);
void clear();
}

二级缓存默认是不开启的，需要手动开启二级缓存，实现二级缓存的时候，MyBatis要求返回的POJO必须是可序列化的。开启二级缓存的条件也是比较简单，通过直接在 MyBatis 配置文件中通过

<settings>
        <setting name = "cacheEnabled" value = "true" /></settings>

来开启二级缓存，还需要在 Mapper 的xml 配置文件中加入 <cache> 标签

二级缓存中，被缓存的对象必须是继承自
Serializable接口，缓存的过程其实就是将POJO反序列化后，存入缓存中。

0x03 复现

在网上随便下载一个spring boot 二级缓存的学习项目，本地搭建就行。我用 https://github.com/Lovelcp/spring-boot-mybatis-with-redis 搭建

修改 ProductMapper.xml 配置文件如下

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper
        PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
        "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.wooyoo.learning.dao.mapper.ProductMapper">

    <cache type="org.apache.ibatis.cache.impl.PerpetualCache"/>

    <select id="select" resultType="Product">
        SELECT * FROM products WHERE id = #{id} LIMIT 1
    </select>

    <update id="update" parameterType="Product" flushCache="true">
        UPDATE products SET name = #{name}, price = #{price} WHERE id = #{id} LIMIT 1
    </update>
</mapper>

然后在 org.apache.ibatis.cache.impl.PerpetualCache 相关位置打上断点

设置好mysql数据库，建库建表，修改配置文件如下图所示

application.yml

spring:
  # 数据库配置
  datasource:
    url: jdbc:mysql://192.168.3.254/test?autoReconnect=true&useSSL=false
    username: root
    password: 123456
    driver-class-name: com.mysql.jdbc.Driver

浏览器访问
http://127.0.0.1:9999/product/1
我们可以看到，二级缓存生效了，将结果已经存储到我们预先设定的缓存中，截图如下

当然，key与value并没有被序列化，因为系统默认的这个缓存，并不会序列化反序列化。

下面我们看一下mybatis 官方redis mybatis/redis-cache缓存插件，相关操作

  @Override
  public void putObject(final Object key, final Object value) {
    execute(new RedisCallback() {
      @Override
      public Object doWithRedis(Jedis jedis) {
        final byte[] idBytes = id.getBytes();
        jedis.hset(idBytes, key.toString().getBytes(), redisConfig.getSerializer().serialize(value));
        if (timeout != null && jedis.ttl(idBytes) == -1) {
          jedis.expire(idBytes, timeout);
        }
        return null;
      }
    });
  }

  @Override
  public Object getObject(final Object key) {
    return execute(new RedisCallback() {
      @Override
      public Object doWithRedis(Jedis jedis) {
        return redisConfig.getSerializer().unserialize(jedis.hget(id.getBytes(), key.toString().getBytes()));
      }
    });
  }

在这里我们可以很明显的看出，将对象反序列化后存储至redis服务器中。

替换里面的数据为我们反序列化的攻击内容即可。

0x04 防御措施

启用的二级缓存没有问题，问题在于，缓存服务器是否允许任意用户访问？？
如果确认自己的业务没有二级缓存或者二级缓存服务器对外不可见，可以暂时不用处理该漏洞
如果二级缓存服务器对外，重点检查第三方缓存是否使用java反序列化

吐槽

某实验室，你自己看看你翻译的那玩意，看完一脸懵逼

参考

https://github.com/mybatis/mybatis-3/pull/2079