إثبات المفهوم لـ CVE-2016-1000027

هذا تطبيق Spring Boolt تجريبي متأثر بـ CVE-2016-1000027.

خطوات إعادة إنتاج الثغرة الأمنية

1. ابدأ الخادم الثغري com.gypsyengineer.server.Server.
2. قم بتشغيل com.gypsyengineer.client.Exploit.

تقرأ الفئة Exploit ملف payload.bin وترسله إلى الخادم الثغري. يحتوي payload.bin على حمولة مولدة بواسطة ysoserial. payload.bin الحالي هو CommonsCollections5 الذي يشغّل gedit:

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

كيفية إصلاح تطبيق متأثر بـ CVE-2016-1000027

لم يتم إصلاح المشكلة في إطار Spring Framework. انظر https://github.com/spring-projects/spring-framework/issues/24434

إليك ما يمكن فعله من جانب التطبيق.

1. أفضل طريقة هي التوقف عن استخدام الفئتين HttpInvokerServiceExporter و RemoteInvocationSerializingExporter. لقد تم إهمالهما بالفعل ومن المحتمل إزالتهما في الإصدارات القادمة من Spring Framework.
2. لا تقبل البيانات غير الموثوقة في نقاط النهاية التي تعتمد على هذه الفئات الثغرية.
3. استخدم مصفيات التسلسل (serialization filters) التي تم تقديمها بواسطة JEP 290.

روابط

1. [R2] طريقة readRemoteInvocation في Pivotal Spring Framework HttpInvokerServiceExporter تؤدي إلى إلغاء تسلسل Java غير موثوق
2. OWASP: إلغاء تسلسل البيانات غير الموثوقة
3. التطبيق مبني على هذا.