CVE-2019-17564 Gadget FastJson + SpringFramework pour Dubbo 2.7.3

Notre analyse complète est disponible sur https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability

Notez que ceci n'est pas une exploitation ; il s'agit d'une chaîne de gadgets POC utilisée dans une exploitation pour démontrer la désérialisation dans des contextes contenant certaines dépendances.

Aperçu

Code de base pour créer la chaîne de gadgets Alibaba FastJson + Spring, telle qu'utilisée pour exploiter Apache Dubbo dans CVE-2019-17564. Ce code imprime, et désérialise localement, un gadget basé sur les dépendances disponibles dans le scope de Dubbo 2.7.3, Dubbo Common 2.7.3, et Spring Framework.

Structure de la chaîne de gadgets

1. HashMap.putVal(h,k,v) a. Le résultat de hashCode(), h, est identique pour les objets HotSwappableTargetSource, déclenchant un appel plus profond à equals() sur les clés HashMap lors de l'insertion d'une seconde valeur
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()