CVE-2017-7525 مختبر إلغاء التسلسل غير الآمن في Java

تطبيق REST أساسي بلغة Java معرض لثغرة إلغاء التسلسل غير الآمن، مما يؤدي إلى تنفيذ أوامر عن بعد (RCE).

يجب تشغيل المشروع على Java < 8u45

مبني على Maven مع التبعيات التالية:

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

يمكن إضافة تبعيات إضافية عبر Maven إذا أردت تجربة المزيد من الأدوات (gadgets).

التشغيل

افتح (يوصى باستخدام Intellij Idea) وشغّل كلاس Java الموجود في src/main/java/com/deserialization/lab/Main.java.

ثم تصفح إلى http://localhost:9091/api/

واجهات API المكشوفة

• GET /api/message : يُعيد كائنًا مسلسلًا مفيدًا لبناء حمولة (payload)
• POST /api/message : يقبل حمولة (payload)، ويقوم بإلغاء تسلسلها، ويعيد المثيل المُنشأ كاستجابة.

ثغرات CVE

التطبيق معرض فعليًا لجميع تقريبًا ثغرات Jackson Databind CVE.

المراجع

ysoserial
Exploiting the Jackson RCE: CVE-2017-7525
Java Deserialization Cheat Sheet
Marshalsec PDF

تنزيلات JDK

أرشيف JDK 8
JDK 8u11 Linux x64

المؤلفون

alp4ca
rhpco

check