cuijiung/dubbo-cve-2023-23638Apache Dubbo CVE-2023-23638 के लिए PoC एक्सप्लॉइट, एक Hessian डिसीरियलाइज़ेशन कमज़ोरी जो JNDI इंजेक्शन को सक्षम बनाती है। इसमें विश्लेषण लेख शामिल हैं और परीक्षण के लिए ZooKeeper और Java 8 की आवश्यकता है।
केवल शैक्षिक अध्ययन के लिए
ZooKeeper स्वयं उपलब्ध कराएँ
परीक्षण वातावरण Java 8 है, अन्य संस्करणों का परीक्षण नहीं किया गया है, उपलब्धता की गारंटी नहीं है।
पुनरुत्पादन करते समय DemoComsumer के लिए VM पैरामीटर जोड़ना आवश्यक है: -Ddubbo.hessian.allowNonSerializable=true, विवरण के लिए देखें https://su18.org/post/hessian/#serializable
विश्लेषण लेख: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/
POC का सार एक क्लास का उपयोग करके properties को संशोधित करना है ताकि सीमाओं को बायपास किया जा सके, कोड JNDI इंजेक्शन देता है, आप CVE-2023-23638 Apache Dubbo JavaNative डिसीरियलाइज़ेशन भेद्यता विश्लेषण का संदर्भ ले सकते हैं और स्वयं deserialization उपयोग विधि में संशोधित कर सकते हैं।
