Was es ist

Compliance-Leute? AppSec-Leute? Vuln-Management-Leute? F5 Labs hat das für Sie gemacht. Diese CVE hat einen CVSS-10-Score, was in der Regel bedeutet, dass knappe Bearbeitungszeiten erforderlich sind. Wir haben das Tool als JAR-Datei gebündelt, die Ihnen eine Parquet-Datei generieren kann. Sie können sie Ihren eigenen Systemen zuführen, um festzustellen, ob sie verwundbar sind – das ist sowohl vor als auch nach dem Fix hilfreich.

Die Anerkennung für die Interna dieses PoC gebührt Mouad Kondah. Sein Artikel vom 2025-04-07 behandelt diese CVE und seine PoCs.

Wie es funktioniert

Die Parquet-Datei nutzt das Verhalten in parquet-avro aus, das es erlaubt, einen nicht vertrauenswürdigen Java-String an einen beliebigen Java-Klassenkonstruktor zu übergeben. Sie geben die Callback-URL an, und wenn Ihr System die Parquet-Datei liest, führt dies dazu, dass ein javax.swing.JEditorPane-Objekt versucht, diese URL zu erreichen. Das ist harmlos.

Demo-Video

Sie möchten eine kurze Zusammenfassung des Canary-Exploit-Tools? Sehen Sie sich dieses zweiminütige YouTube-Short für eine Live-Demo an: [Demo-Video].

Verwundbare Konfigurationen

Beachten Sie, dass F5 Labs für das Modul parquet-avro zwei Szenarien der Verwundbarkeit bekannt sind:

1. Version 1.15.0 und früher – da es kein Konzept der Allowlist-Pakete gab, um String-Objekte in alternative Typen zu zwingen.
2. Version 1.15.1 und später (zum Zeitpunkt der Erstellung) genau dann, wenn die Einstellung org.apache.parquet.avro.SERIALIZABLE_PACKAGES auf etwas Permissives gesetzt wurde, z. B. *.

Fallstricke

Sie können dies mit allem verwenden, zu dem Ihr System ausgehenden Datenverkehr (Egress) herstellen kann (DNS und/oder HTTP(S)). Wenn Sie über keinen der beiden ausgehenden Zugänge zum Internet im Allgemeinen verfügen, ziehen Sie alles in Betracht, was innerhalb Ihres Rechenzentrums erreichbar ist und für das Sie DNS- oder HTTP-Zugriffsprotokolle erhalten können. Seien Sie sich bewusst, dass ein Fehler hier zu einem falsch negativen Ergebnis führt. Auch sehr ungewöhnliche Einstellungen für org.apache.parquet.avro.SERIALIZABLE_PACKAGES könnten möglicherweise zu einem falsch negativen Ergebnis führen; siehe den vorherigen Unterabschnitt.

Verwenden des Canary-Exploit-Generators

Wir ermutigen Sie, den Code zu lesen und zu verstehen und ihn selbst zu bauen. Wir stellen den Distributions-Build des Codes als JAR-Datei in diesem Repository der Einfachheit halber bereit.

Beziehen des Java-JDK

Sie benötigen JDK 21 oder neuer, um den Generator zu bauen oder auszuführen (Suchbegriffe wie „OpenJDK21 installieren" könnten hier hilfreich sein). Wenn Sie mit der Installation des JDK vertraut sind, sind dies die Kurzbefehle:

• MacOS: brew install openjdk@21
• Ubuntu/Debian: sudo apt install openjdk-21-jdk
• Red Hat: sudo yum install java-21-openjdk
• Windows: https://learn.microsoft.com/en-us/java/openjdk/install

Beziehen der Distributions-JAR

Sie können entweder die JAR-Datei herunterladen oder das Repository klonen.

Herunterladen der Distributions-JAR

Klonen dieses GitHub-Repositories

Überprüfen Ihrer Distributions-JAR

Erwartete Ausgabe:

Nutzungshilfe erhalten

Erwartete Ausgabe:

Die Canary-Exploit-Datei generieren

Legen Sie zunächst fest, was YOUR_CALLBACK_URL sein soll. Sie müssen in der Lage sein zu erkennen, wann Ihr Parquet-verarbeitendes Backend entweder den Domänennamen der URL auflöst oder die URL vom Webserver anfordert. Sie können dafür gerne canarytokens.org „Web bug" oder „DNS" in Betracht ziehen. Einzelheiten finden Sie im Abschnitt „Fallstricke" weiter oben.

Führen Sie diesen Befehl aus:

Dadurch wird poc.parquet generiert. Überprüfen Sie es wie folgt:

Dies sollte Folgendes ausgeben:

Diese Datei kann nun in Ihr System eingespeist werden. Wenn Ihr System verwundbar ist, erhalten Sie einen Callback. Siehe auch den Abschnitt „Fallstricke".

Testen der Canary-Exploit-Datei

Der Einfachheit halber wird die Datei auch dann generiert, wenn sie nicht bereits vorhanden ist.

Testen des Canary-Exploits lokal

Siehe CanaryExploitGenerator.testParquetFile() für die Art und Weise, wie die Parquet-Datei gelesen wird. So sieht Code in den Tiefen Ihres Systems aus:

Haftungsausschluss

Dieses Tool ist ausschließlich für den Einsatz in autorisierten Sicherheitstestumgebungen vorgesehen. Machen Sie sich mit den Gesetzen der anwendbaren Rechtsordnung(en) vertraut. Rechtliche Einzelheiten finden Sie in LICENSE.md.