CVE-2019-17564 FastJson + SpringFramework Gadget for Dubbo 2.7.3

हमारा पूरा लेख https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability पर उपलब्ध है

ध्यान दें कि यह एक शोषण नहीं है; यह एक POC गैजेट श्रृंखला है जिसका उपयोग उन स्कोपों में deserialization प्रदर्शित करने के लिए किया जाता है जिनमें कुछ निर्भरताएँ होती हैं।

अवलोकन

एलिबाबा FastJson + Spring गैजेट श्रृंखला बनाने के लिए मूल कोड, जैसा कि CVE-2019-17564 में Apache Dubbo का शोषण करने के लिए उपयोग किया गया था। यह कोड Dubbo 2.7.3, Dubbo Common 2.7.3, और Spring Framework के स्कोप में उपलब्ध निर्भरताओं पर आधारित एक गैजेट को प्रिंट और स्थानीय रूप से deserialize करेगा।

गैजेट श्रृंखला संरचना

1. HashMap.putVal(h,k,v) a. HotSwappableTargetSource ऑब्जेक्ट्स के लिए hashCode() का परिणाम h समान होता है, जो दूसरा मान डालने पर HashMap कुंजियों पर गहरी equals() कॉल को ट्रिगर करता है
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

क्रेडिट