easy-rules-mvel<=4.1.0 远程代码执行漏洞

[y1ong]

• 漏洞编号: CVE-2023-50571
• 危害定级: 高危
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2023-12-30
• 信息来源: https://www.oscs1024.com/cm
• 推送原因: 漏洞创建

漏洞描述

Easy Rules 是开源的Java规则引擎，easy-rules-mvel 支持使用 MVEL 表达式语言定义规则。
easy-rules-mvel 4.1.0及之前版本中，由于 then 和 when 方法在加载Zer文件时会执行当前 classpath 中与 Zer 文件同名的 class 文件，如果攻击者可向 classpath 中写入与 Zer 文件同名的 class 文件，则可在 easy-rules-mvel 加载Zer文件时远程执行任意代码。

参考链接

1. https://www.oscs1024.com/hd/MPS-k69p-f547
2. https://nvd.nist.gov/vuln/detail/CVE-2023-50571
3. MVELRule Remote Code Execution j-easy/easy-rules#419