CVE-2017-7525 مختبر إلغاء التسلسل غير الآمن في Java

تطبيق REST أساسي بلغة Java معرض لثغرة إلغاء التسلسل غير الآمن، مما يؤدي إلى تنفيذ أوامر عن بعد (RCE).

يجب تشغيل المشروع على Java < 8u45

مبني على Maven مع التبعيات التالية:

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

يمكن إضافة تبعيات إضافية عبر Maven إذا أردت تجربة المزيد من الأدوات (gadgets).

التشغيل

افتح (يوصى باستخدام Intellij Idea) وشغّل كلاس Java الموجود في src/main/java/com/deserialization/lab/Main.java.

ثم تصفح إلى http://localhost:9091/api/

واجهات API المكشوفة

• GET /api/message : يُعيد كائنًا مسلسلًا مفيدًا لبناء حمولة (payload)
• POST /api/message : يقبل حمولة (payload)، ويقوم بإلغاء تسلسلها، ويعيد المثيل المُنشأ كاستجابة.

ثغرات CVE

التطبيق معرض فعليًا لجميع تقريبًا ثغرات Jackson Databind CVE.

المراجع

ysoserial