PoC für CVE-2016-1000027

Dies ist eine Demo-Spring-Boolt-Anwendung, die von CVE-2016-1000027 betroffen ist.

Schritte zur Reproduktion der Sicherheitslücke

1. Starten Sie einen anfälligen Server com.gypsyengineer.server.Server.
2. Führen Sie com.gypsyengineer.client.Exploit aus.

Die Exploit Klasse liest payload.bin und sendet es an den anfälligen Server. payload.bin enthält einen Payload, der von ysoserial generiert wurde. Das aktuelle payload.bin ist CommonsCollections5, das gedit ausführt:

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

So beheben Sie eine von CVE-2016-1000027 betroffene Anwendung

Das Problem wurde im Spring Framework nicht behoben. Siehe https://github.com/spring-projects/spring-framework/issues/24434

Hier ist, was auf Anwendungsseite getan werden kann.

1. Der beste Weg ist, die Verwendung der Klassen HttpInvokerServiceExporter und RemoteInvocationSerializingExporter einzustellen. Sie sind bereits veraltet und werden in zukünftigen Versionen des Spring Frameworks voraussichtlich entfernt.
2. Akzeptieren Sie keine nicht vertrauenswürdigen Daten in den Endpunkten, die auf diesen anfälligen Klassen basieren.
3. Verwenden Sie Serialisierungsfilter, die mit JEP 290 eingeführt wurden.

Links

1. [R2] Pivotal Spring Framework HttpInvokerServiceExporter readRemoteInvocation Method Untrusted Java Deserialization
2. OWASP: Deserialization of untrusted data
3. Die Anwendung basiert auf diesem.