CVE-2019-17564 أداة FastJson + SpringFramework لـ Dubbo 2.7.3

كتابتنا الكاملة متاحة على https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability

لاحظ أن هذا ليس استغلالًا؛ بل هو سلسلة أدوات POC مستخدمة في استغلال لتوضيح إلغاء التسلسل في نطاقات تحتوي على تبعيات معينة.

نظرة عامة

كود أساسي لإنشاء سلسلة أدوات Alibaba FastJson + Spring، المستخدمة لاستغلال Apache Dubbo في CVE-2019-17564. سيقوم هذا الكود بطباعة وإلغاء تسلسل محليًا لأداة استنادًا إلى التبعيات المتاحة في نطاق Dubbo 2.7.3 وDubbo Common 2.7.3 وSpring Framework

بنية سلسلة الأدوات

1. HashMap.putVal(h,k,v) a. نتيجة hashCode()، وهي h، متطابقة لكائنات HotSwappableTargetSource، مما يؤدي إلى استدعاء equals() بشكل أعمق على مفاتيح HashMap عند إدراج قيمة ثانية
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

الاعتمادات

الاعتمادات تعود إلى Chris Frohoff وMoritz Bechler لأبحاثهما وأدواتهما (ysoserial وmarshalsec)، حيث تم استخدام جزء من كودهما في سلسلة الأدوات، وكانت أبحاثهما الأساس لهذا الاستغلال.

الاعتمادات تعود أيضًا إلى Checkmarx، التي تمكّن هذا النوع من الأبحاث، وإلى مجموعة أبحاثنا الرائعة لاقتراح الأفكار والمراجعة وتحمل حقيقة أنني لا أتوقف عن الحديث حول هذا النوع من الأمور.