GoCD_PoC_Supply_Chain_Attack

CVE-2021-43287 CVE-2021-43288 CVE-2021-43289 CVE-2021-43290

1. Visão Geral / Overview

[PT] O GoCD é uma plataforma de CI/CD mantida pela ThoughtWorks. Nas versões anteriores à 21.3.0, pesquisadores da SonarSource identificaram uma cadeia de vulnerabilidades explorável sem nenhuma autenticação. Os dois scripts deste repositório demonstram:

• gocd_rce_noauth.py — exploração completa da cadeia até RCE (Execução Remota de Código), sem credenciais.
• gocd_urldns.py — detecção out-of-band da desserialização Java via gadget chain URLDNS e callback DNS (requer credenciais válidas para listar agents registrados).

[EN] GoCD is a CI/CD platform maintained by ThoughtWorks. In versions prior to 21.3.0, SonarSource researchers identified a vulnerability chain exploitable with zero authentication. The two scripts in this repository demonstrate:

• gocd_rce_noauth.py — full chain exploitation up to RCE (Remote Code Execution), without credentials.
• gocd_urldns.py — out-of-band detection of Java deserialization via the URLDNS gadget chain and a DNS callback (requires valid credentials to list registered agents).

2. Impacto na Cadeia de Suprimentos de Software / Software Supply Chain Impact

[PT] O GoCD ocupa uma posição central na cadeia de entrega de software de uma organização: ele orquestra a compilação, os testes, a geração de artefatos e os deploys em produção. Ao comprometer o servidor GoCD via RCE (como demonstrado pelo gocd_rce_noauth.py), um atacante obtém controle sobre todos os estágios desse processo — podendo inserir backdoors em binários, falsificar artefatos ou exfiltrar código-fonte e credenciais antes mesmo que qualquer produto chegue ao usuário final. O cenário é análogo ao ataque à SolarWinds (2020), onde o acesso ao pipeline de build resultou na distribuição de malware para milhares de clientes.

[EN] GoCD occupies a central position in an organization's software delivery chain: it orchestrates builds, tests, artifact generation, and production deployments. By compromising the GoCD server via RCE (as demonstrated by gocd_rce_noauth.py), an attacker gains control over every stage of that process — enabling backdoor insertion into binaries, artifact tampering, or source code and credential exfiltration before any product reaches the end user. The scenario mirrors the SolarWinds attack (2020), where build pipeline access led to malware distribution to thousands of customers.

3. Vulnerabilidades / Vulnerabilities

CVE-2021-43287 — Business Continuity: vazamento sem autenticação / unauthenticated leak

[PT] O endpoint /go/add-on/business-continuity/api/cruise_config devolve o XML completo de configuração do servidor sem exigir autenticação. O XML contém os atributos do elemento <server>, incluindo agentAutoRegisterKey e tokenGenerationKey — as duas chaves necessárias para registrar agentes e assinar requisições autenticadas. Adicionalmente, o parâmetro pluginName do endpoint de plugins aceita sequências de path traversal (../../../../../../), permitindo leitura de arquivos arbitrários do sistema — como /proc/self/environ e /etc/go/jetty.xml.

[EN] The /go/add-on/business-continuity/api/cruise_config endpoint returns the full server configuration XML without requiring authentication. The XML contains the <server> element attributes, including agentAutoRegisterKey and tokenGenerationKey — the two keys needed to register agents and sign authenticated requests. Additionally, the pluginName parameter of the plugin endpoint accepts path traversal sequences (../../../../../../), allowing arbitrary file reads — such as /proc/self/environ and /etc/go/jetty.xml.

Endpoints explorados pelos scripts / Endpoints used by the scripts:

CVE-2021-43289 / CVE-2021-43290 — Desserialização Java via remoteBuildRepository

[PT] O endpoint /go/remoting/remoteBuildRepository aceita objetos Java serializados (Content-Type: application/x-java-serialized-object) autenticados apenas com o header Authorization: base64(HMAC-SHA256(tokenGenerationKey, agent_uuid)). Como o tokenGenerationKey é obtido via CVE-2021-43287, um atacante sem credenciais pode enviar gadget chains maliciosas. Os scripts utilizam dois gadgets customizados do ysoserial baseados em AspectJWeaver:

• AspectJWeaverFileUpload1 — escreve arquivo arbitrário no sistema de arquivos do servidor (usado para sobrescrever /etc/go/jetty.xml com uma versão maliciosa).
• AspectJWeaverFileRead1 — lê /dev/random, forçando o Jetty a reinicializar e carregar o jetty.xml modificado, disparando a execução do comando injetado via java.lang.Runtime.exec().

[EN] The /go/remoting/remoteBuildRepository endpoint accepts Java serialized objects (Content-Type: application/x-java-serialized-object) authenticated only with the header Authorization: base64(HMAC-SHA256(tokenGenerationKey, agent_uuid)). Since tokenGenerationKey is obtained via CVE-2021-43287, an unauthenticated attacker can send malicious gadget chains. The scripts use two custom ysoserial gadgets based on AspectJWeaver:

• AspectJWeaverFileUpload1 — writes an arbitrary file on the server's filesystem (used to overwrite /etc/go/jetty.xml with a malicious version).
• AspectJWeaverFileRead1 — reads /dev/random, forcing Jetty to restart and load the modified jetty.xml, triggering the command injected via java.lang.Runtime.exec().

4. Encadeamento de Ataque / Attack Chain

gocd_rce_noauth.py — Cadeia completa sem autenticação / Full unauthenticated chain

gocd_urldns.py — Detecção out-of-band / Out-of-band detection

5. Pré-requisitos / Prerequisites

Dependências Python / Python dependencies

Ferramentas externas obrigatórias / Mandatory external tools

Ambos os scripts dependem de um JDK 32-bit e do ysoserial.jar no diretório de execução. Both scripts depend on a 32-bit JDK and ysoserial.jar in the working directory.

Estrutura esperada de arquivos / Expected file structure:

[PT] O script detecta o sistema operacional automaticamente e usa o caminho correspondente:

• Linux: ./openlogic-openjdk-8u332-b09-linux-x32/bin/java
• Windows: .\openlogic-openjdk-8u332-b09-windows-32\bin\java

[EN] The script auto-detects the OS and uses the matching path:

• Linux: ./openlogic-openjdk-8u332-b09-linux-x32/bin/java
• Windows: .\openlogic-openjdk-8u332-b09-windows-32\bin\java

Para gocd_urldns.py: serviço de interação DNS / DNS interaction service

[PT] É necessário um servidor de interação DNS que registre callbacks (ex.: interactsh ou Burp Collaborator). O script envia a URL recebida em -i como argumento para o gadget URLDNS.

[EN] A DNS interaction server that registers callbacks is required (e.g., interactsh or Burp Collaborator). The script passes the URL received via -i as the argument to the URLDNS gadget.

6. Ambiente PoC com Docker / PoC Docker Environment

Iniciar o alvo vulnerável / Start the vulnerable target

Teardown

7. Uso dos Scripts / Script Usage

gocd_rce_noauth.py — RCE sem autenticação / Unauthenticated RCE

[PT] Executa a cadeia completa de exploração sem nenhuma credencial: lê o cruise_config, extrai as chaves do servidor, lê e modifica o jetty.xml via path traversal, registra um agente falso, serializa os gadgets AspectJWeaver com ysoserial e os envia ao endpoint de desserialização para sobrescrever o jetty.xml e forçar a reinicialização do Jetty com o comando injetado.

[EN] Executes the full exploitation chain with no credentials: reads cruise_config, extracts server keys, reads and modifies jetty.xml via path traversal, registers a fake agent, serializes the AspectJWeaver gadgets with ysoserial, and sends them to the deserialization endpoint to overwrite jetty.xml and force Jetty to restart with the injected command.

Argumentos / Arguments

Exemplos / Examples

Saída esperada / Expected output

Arquivos gerados localmente / Files generated locally

Payload injetado no jetty.xml / Payload injected into jetty.xml

gocd_urldns.py — URLDNS / Detecção de desserialização

[PT] Variante de detecção out-of-band que confirma a vulnerabilidade de desserialização Java sem executar código destrutivo. Requer credenciais para autenticar e listar os agents registrados, da qual extrai o UUID de um agent com agent_state != "Building". Em seguida serializa o gadget URLDNS com o ysoserial apontando para uma URL de interação DNS e o envia ao endpoint /go/remoting/remoteBuildRepository. Um callback DNS confirmará que o servidor desserializou o payload.

[EN] An out-of-band detection variant that confirms the Java deserialization vulnerability without executing destructive code. Requires credentials to authenticate and list registered agents, from which it extracts the UUID of an agent with agent_state != "Building". It then serializes the URLDNS gadget with ysoserial pointing to a DNS interaction URL and sends it to the /go/remoting/remoteBuildRepository endpoint. A DNS callback will confirm the server deserialized the payload.

Argumentos / Arguments

Exemplo / Example

Saída esperada / Expected output

[PT] Após o envio, verificar no painel do interactsh/Collaborator se houve uma requisição DNS originada do IP do servidor GoCD. Isso confirma a vulnerabilidade de desserialização antes de explorar com o gocd_rce_noauth.py.

[EN] After sending, check the interactsh/Collaborator dashboard for a DNS request originating from the GoCD server's IP. This confirms the deserialization vulnerability before exploiting with gocd_rce_noauth.py.

Header de autorização / Authorization header

Ambos os scripts calculam a autorização da mesma forma / Both scripts compute authorization the same way:

8. Referências / References

CVE — NVD / NIST

Análise técnica / Technical writeups

Commits de correção / Fix commits

Release notes / Versão corrigida

• GoCD v21.3.0: https://www.gocd.org/releases/#21-3-0

9. Cronologia / Timeline

10. Mitigação / Mitigation

[PT]

1. Atualize o GoCD para a versão ≥ 21.3.0 imediatamente.
2. Se o add-on de Business Continuity não for utilizado, desative-o.
3. Rotacione o tokenGenerationKey, agentAutoRegisterKey e todas as credenciais de pipelines expostas.
4. Revise os logs em busca de requisições não autenticadas a /go/add-on/business-continuity/ e posts para /go/remoting/remoteBuildRepository com Content-Type: application/x-java-serialized-object.
5. Aplique segmentação de rede para restringir acesso ao servidor GoCD a hosts autorizados.

[EN]

1. Upgrade GoCD to version ≥ 21.3.0 immediately.
2. If the Business Continuity add-on is not needed, disable it.
3. Rotate tokenGenerationKey, agentAutoRegisterKey, and all pipeline credentials that may have been exposed.
4. Review logs for unauthenticated requests to /go/add-on/business-continuity/ and POST requests to /go/remoting/remoteBuildRepository with Content-Type: application/x-java-serialized-object.
5. Apply network segmentation to restrict GoCD server access to authorized hosts only.

Para fins educacionais. / For educational purposes only.