CVE-2017-7525 Laboratorio de Deserialización Insegura en Java

Aplicación Java REST básica vulnerable a Deserialización Insegura, que conduce a RCE.

El proyecto debe ejecutarse en Java < 8u45

Basado en Maven con las siguientes dependencias:

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

Se pueden agregar más dependencias a través de Maven si se desea probar otros gadgets.

Ejecución

Abra (recomendado con Intellij Idea) y ejecute la clase Java en src/main/java/com/deserialization/lab/Main.java.

Luego navegue a http://localhost:9091/api/

APIs Expuestas

• GET /api/message : devuelve un objeto serializado útil para construir un payload
• POST /api/message : Acepta un payload, lo deserializa y refleja la instancia generada como respuesta

CVEs

La aplicación es realmente vulnerable a casi todos los CVE de Jackson Databind.

Referencias