abraxas/openmeetings-cluster-openjpaApache OpenMeetings 9.1.0 – Hoch – Remote – CWE-502 – Clustering OpenJPA RemoteCommitProvider TCP 5636
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-cluster-openjpa
Klasse: CWE-502 Reichweite: Remote
Apache OpenMeetings 9.1.0. Überbleibsel von CVE-2024-54676 (Dokumentations-Whitelist). Das Standard-bin/startup.sh setzt keine OpenJPA-Listen. Clustering.xml / systemd-Unit dokumentieren weiterhin RemoteCommitProvider=tcp. Wenn ein Administrator das auskommentiert, ist TCP 5636 ungefiltertes ObjectInputStream.readObject. Das unveränderte 9.1.0 bindet 5636 nicht.
Dieses Lab sendet nur java.util.HashMap / String. Keine Gadget-Chain.
| ID | noch keine CVE |
| Klasse | CWE-502 |
| Reichweite | Remote (wenn Clustering-TCP wie in der Dokumentation aktiviert ist) |
| CWE | CWE-502 |
| CVSS | Hoch: 8.1 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Produkt | Apache OpenMeetings 9.1.0 Clustering |
| Auth | keine auf 5636, sobald Clustering aktiviert ist |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1:18162 |
| Methode | Sink | Berechtigung |
|---|---|---|
| Standard-TCP 5636 | startup.sh hat keine Listen; persistence.xml auskommentiert | Im Standard geschlossen (lab-bestätigt): Port geschlossen. PHASE_A_STOCK_NOT_EXPLOITABLE. |
Dokumentation aktiviert RemoteCommitProvider=tcp, dann TCP 5636 serialisierte HashMap | OpenJPA readObject | Integrität (lab-bestätigte Deserialisierung): ClassCastException HashMap vs. RemoteCommitEvent. Der Witness-String befand sich in der HashMap. Gadget-RCE nicht ausgeführt. |
Geschlossen: ysoserial nicht verwendet. Standard-Clustering deaktiviert. CVE-2024-54676 Dokumentations-Whitelist für den Skript-Pfad; dieses Überbleibsel ist der TCP-Provider, den die Clustering-Dokumentation weiterhin zeigt.
cd lab
./run.sh
Letzte Zeile: SUCCESS OPENMEETINGS-CLUSTER-OPENJPA-WITNESS
Empfohlene Korrektur: RemoteCommitProvider deaktiviert lassen. Wenn TCP-Clustering erforderlich ist, an Loopback binden und die OpenJPA-Serialisierungs-Whitelist in startup.sh setzen, nicht nur in systemd. Nicht dokumentieren, dass man auf 5636 auskommentiert und lauscht.
Abraxas Labs – https://abraxaslabs.tech – https://github.com/abraxas – https://x.com/abraxas_null – [email protected]
Anbieter: [email protected]