
Fail-open-Bypass im EncryptInterceptor des Apache-Tomcat-Tribes-Clustering, der über Java-Deserialisierung eine nicht authentifizierte RCE (Remote Code Execution) ermöglicht.
Fail-Open-Bypass des EncryptInterceptor im Apache-Tomcat-Tribes-Clustering führt zu nicht authentifiziertem RCE über Java-Deserialisierung.
Betroffen: 11.0.19+, 10.1.53+, 9.0.116+. Behoben in: 11.0.21, 10.1.54, 9.0.117.
Gefunden und gemeldet von Bartlomiej Dmitruk (striga.ai).
Writeup: https://striga.ai/research/tomcat-tribes-unauth-rce
Reproduktion mit einem einzigen Befehl:
bash run.sh
Dieses Skript erstellt das Docker-Image, startet Tomcat 11.0.20 mit EncryptInterceptor, generiert einen CC6-Gadget-Chain-Payload, sendet ihn unverschlüsselt an den Tribes-Empfänger auf Port 4000 und verifiziert RCE, indem es nach /tmp/pwned im Container sucht.
docker rm -f tomcat-encrypt-poc