yaml-payload

Un payload d'exploitation de désérialisation SnakeYAML pour CVE-2022-1471, adapté de artsploit/yaml-payload (initialement basé sur mbechler/marshalsec).

Ce que ça fait

Lorsqu'il est chargé via la méthode non sécurisée Yaml.load() de SnakeYAML, ce payload prend le contrôle de l'application en cours d'exécution et la remplace par une page « You've Been PWNED » :

1. Injecte une Valve Tomcat dans l'application Spring Boot en cours d'exécution via la réflexion, détournant le port 8080 existant — la même URL (y compris un éventuel tunnel ngrok) sert désormais la page PWNED
2. Redirige automatiquement le navigateur — la réponse POST envoie une redirection 302, si bien que le navigateur charge immédiatement la page PWNED sans actualisation manuelle
3. Ouvre le navigateur automatiquement vers la bonne URL (URL publique ngrok si disponible, sinon localhost:8080)
4. Affiche les preuves de l'exploit dans la console/les journaux CI

Si l'injection de Valve Tomcat n'est pas disponible (par exemple pour une application non-Spring), le payload revient à démarrer un serveur HTTP autonome sur le port 9999 et crée automatiquement un tunnel ngrok si ngrok est en cours d'exécution.

Cela fonctionne à la fois localement sur macOS et dans les pipelines CI/CD (par exemple GitHub Actions sur Ubuntu).

Comment fonctionne la chaîne d'exploitation