CVE-2017-7525 Laboratoire de désérialisation non sécurisée en Java

Application REST Java basique vulnérable à la désérialisation non sécurisée, conduisant à une exécution de code à distance (RCE).

Le projet doit être exécuté sur Java < 8u45

Basé sur Maven avec les dépendances suivantes :

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

Des dépendances supplémentaires peuvent être ajoutées via Maven si vous souhaitez essayer d'autres gadgets.

Exécution

Ouvrez (recommandé avec IntelliJ IDEA) et exécutez la classe Java dans src/main/java/com/deserialization/lab/Main.java.

Accédez ensuite à http://localhost:9091/api/

API exposées

• GET /api/message : retourne un objet sérialisé utile pour construire une charge utile
• POST /api/message : accepte une charge utile, la désérialise et renvoie l'instance générée comme réponse

CVE

L'application est en réalité vulnérable à presque toutes les CVE de Jackson Databind.

Références