Apache FOP-XXE—【CVE-2017-5661】 Secer's Blog - 记录互联网安全历程与个人成长经历

Apache FOP

FOP (Formatting Objects Processor) 是第一个基于 XSL:FO 的打印格式处理器，也是第一个与输出无关的格式处理器。能够从对象树中读入，然后生成渲染过的页面，将其输出到指定的流。目前支持的输出格式有PDF,PCL,PS,SVG,XML(以树形结构表示),打印机,AWT,MIF和TXT。最主要的输出的是PDF。

漏洞简介

Fixed in FOP 2.2
medium: XXE vulnerability CVE-2017-5661
Issue Public: 2017-04-18
Update Released: 2017-04-10 (FOP 2.2)
Affects: 2.1 and earlier

调用流程

分析过程

下好2.1版本的fop，发现它这个组件连classpath都没弄好....同时也缺失了很多依赖，如果想要源码包的所有代码都能够跑起来的话，需要花费一些时间去将他们慢慢调好

组件里有用servlet生成PDF的例子，所以我们直接去看这一部分吧
路径：

直接看 doGet 函数

接受了三个参数的传入，参数名分别是：

renderXML 这个函数名这么明显，那么选择进入 xmlParam != null 的条件

跟入 renderXML

convertString2Source 是将字符串转换为 Source （也就是由文件名获取文件资源）
transformer 是根据 xsltSrc ，也就是指定的 xsl 文件资源生成的，然后 transformer 被带入了 render 函数里

我们先去看看 transformer 是啥类型的，跟进 newTransformer

发现是一个接口，并且我们目前没法确定 transFactory 是啥类型的....返回去看看

transFactory 在 servlet 的 init 函数中做了初始化

继续跟进

找到路径了，那么newTransfomer 函数生成的 transformer 也应该是 com.sun.org.apache.xalan.internal.xsltc.trax 这个路径

那就应该是 com.sun.org.apache.xalan.internal.xsltc.trax.TransformerImpl 这个类

uriResolver 也在 init 函数中初始化过

现在继续跟进 render 函数

因为 xml 文件是我们指定的，所以需要盯紧它，也就是在 render 中的 src 变量，如上图，传入了 transform 函数中，之前分析过 transformer 是啥类型的，跟过去

（截取部分代码）

@Override
public void transform(Source source, Result result)
    throws TransformerException
{
    if (!_isIdentity) {
        if (_translet == null) {
            ErrorMsg err = new ErrorMsg(ErrorMsg.JAXP_NO_TRANSLET_ERR);
            throw new TransformerException(err.toString());
        }
[.....]
    transform(source, toHandler, _encoding);
[.....]