CVE-2019-17564 Gadget FastJson + SpringFramework para Dubbo 2.7.3

Nuestro artículo completo está disponible en https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability

Tenga en cuenta que esto no es un exploit; es una cadena de gadgets POC utilizada en un exploit para demostrar la deserialización en ámbitos que contienen ciertas dependencias.

Resumen

Código básico para crear la cadena de gadgets Alibaba FastJson + Spring, tal como se utiliza para explotar Apache Dubbo en CVE-2019-17564. Este código imprimirá y deserializará localmente un gadget basado en dependencias disponibles en el ámbito de Dubbo 2.7.3, Dubbo Common 2.7.3 y Spring Framework.

Estructura de la Cadena de Gadgets

1. HashMap.putVal(h,k,v) a. El resultado de hashCode(), h, es idéntico para objetos HotSwappableTargetSource, lo que desencadena una llamada más profunda a equals() en las claves de HashMap cuando se inserta un segundo valor.
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

Créditos

Los créditos corresponden a Chris Frohoff y Moritz Bechler por su investigación y herramientas (ysoserial y marshalsec), ya que parte de su código se utilizó en la cadena de gadgets y su investigación sentó las bases para este exploit.

Los créditos también corresponden a Checkmarx, que permite este tipo de investigación, y a nuestro fantástico grupo de investigación por proponer ideas, revisar y soportar el hecho de que no me callo sobre este tipo de cosas.