CVE-2017-3066

Beschreibung

Adobe ColdFusion verwendet das Nachrichtenformat Action Message Format (AMF). Das AMF-Protokoll ist ein benutzerdefiniertes binäres Serialisierungsprotokoll. Es gibt zwei Formate: AMF0 und AMF3. Eine Action-Message besteht aus Headern und Bodies. Es gibt mehrere Implementierungen von AMF in verschiedenen Sprachen. Für Java haben wir Adobe BlazeDS (jetzt Apache BlazeDS), das auch in Adobe ColdFusion verwendet wird. Adobe ColdFusion ist von einem Java-Deserialisierungsfehler in seiner Apache-BlazeDS-Bibliothek betroffen, wenn es nicht vertrauenswürdige Java-Objekte verarbeitet, was dem Angreifer die Möglichkeit gibt, aus der Ferne anzugreifen – eine Schwachstelle zur Remote-Code-Ausführung.

Anfällige Version

Update-Version

Vergleich der anfälligen und aktualisierten Version

WinMerge Update-Dateien:

Die Bibliothek flex-messaging-core.jar enthält die Klasse flex.messaging.validators.ClassDeserializationValidator, die die Validierung durchführt. Daher wurde sie mit dem Java-Decompiler separat dekompiliert und erneut zum Vergleich in WinMerge gestartet.

Installation

Installation und Ausnutzung: https://github.com/vulhub/vulhub/tree/master/coldfusion/CVE-2017-3066

Suricata

In der Datei "test.rules" wird eine Regel für das Dienstprogramm Suricata bereitgestellt. Die Regel ermöglicht es, Netzwerkverkehr zu erkennen, der ausnutzbare Schwachstellen ausnutzt. Die Regel wird in der Datei /etc/suricata/suricata file.yaml eingebunden:

    default-rule-path: /etc/suricata 
    rule-files: 
     - test.rules

Ausführen:

suricata -c /etc/suricata/suricata.yaml –I ens33

Protokoll /var/log/suricata/fast.log

Signatur 79 73 6F 73 65 72 69 61 = ysoserial