yaml-payload

Ein SnakeYAML-Deserialisierungs-Exploit-Payload für CVE-2022-1471, adaptiert von artsploit/yaml-payload (ursprünglich basierend auf mbechler/marshalsec).

Was es tut

Wenn es über SnakeYAMLs unsicheres Yaml.load() geladen wird, übernimmt dieses Payload die laufende Anwendung und ersetzt sie durch eine „You've Been PWNED"-Seite:

1. Injiziert ein Tomcat-Valve in die laufende Spring-Boot-App über Reflection und übernimmt den bestehenden Port 8080 — dieselbe URL (einschließlich eines beliebigen ngrok-Tunnels) liefert nun die PWNED-Seite
2. Leitet den Browser automatisch um — die POST-Antwort sendet eine 302-Weiterleitung, sodass der Browser die PWNED-Seite ohne manuelles Aktualisieren sofort lädt
3. Öffnet den Browser automatisch mit der korrekten URL (ngrok-öffentliche URL, falls verfügbar, andernfalls localhost:8080)
4. Gibt Exploit-Nachweise in der Konsole/den CI-Logs aus

Wenn die Tomcat-Valve-Injektion nicht verfügbar ist (z. B. bei einer Nicht-Spring-App), fällt es auf einen eigenständigen HTTP-Server auf Port 9999 zurück und erstellt automatisch einen ngrok-Tunnel, falls ngrok läuft.

Dies funktioniert sowohl lokal auf macOS als auch in CI/CD-Pipelines (z. B. GitHub Actions auf Ubuntu).

Wie die Exploit-Kette funktioniert