OGNL Expression Injection: Double Evaluation

OGNL 評価を 2 回行うと、攻撃者が最初の評価の出力を制御するときに任意の OGNL 式を評価できるようになります。

アプリケーションは、OGNL 式を 2 回評価する Struts タグ内にある強制 OGNL 式 (%{expr}) を使用します。最初の評価の結果を掌握している攻撃者が、2 回目の OGNL 評価で評価される式を制御し、任意の OGNL 式を挿入できるようになる可能性があります。

例 1: redirectAction の結果はそのパラメーターを 2 回評価することが知られています。この場合、攻撃者が redirect リクエスト パラメーターを指定することで、actionName パラメータの強制 OGNL 式の結果を制御する可能性があります。

    ...
    <action name="index" class="com.acme.MyAction">
        <result type="redirectAction">
            <param name="actionName">${#parameters['redirect']}</param>
            <param name="namespace">/foo</param>
        </result>
    </action>
    ...

Struts 2 コードは、内部的に %{#parameters['redirect']} 式を評価してユーザー制御の文字列を返しますが、これが OGNL 式として評価されることで、攻撃者が任意の OGNL 式を評価できるようになります。