CVE-2021-27850

Riepilogo

Una vulnerabilità critica di esecuzione remota di codice senza autenticazione è stata trovata in tutte le versioni recenti di Apache Tapestry. Le versioni interessate includono 5.4.5, 5.5.0, 5.6.2 e 5.7.0. La vulnerabilità che ho trovato è un bypass della correzione per CVE-2019-0195. Ricapitolando: prima della correzione di CVE-2019-0195 era possibile scaricare file di classe arbitrari dal classpath fornendo un URL di file asset appositamente creato. Un attaccante poteva scaricare il file `AppModule.class` richiedendo l'URL `http://localhost:8080/assets/something/services/AppModule.class` che contiene una chiave segreta HMAC. La correzione per quel bug era un filtro blacklist che controlla se l'URL termina con `.class`, `.properties` o `.xml`. Bypass: sfortunatamente, la soluzione blacklist può essere semplicemente aggirata aggiungendo una `/` alla fine dell'URL: `http://localhost:8080/assets/something/services/AppModule.class/` La barra viene rimossa dopo il controllo della blacklist e il file `AppModule.class` viene caricato nella risposta. Questa classe contiene solitamente la chiave segreta HMAC che viene utilizzata per firmare oggetti Java serializzati. Con la conoscenza di quella chiave, un attaccante può firmare una catena di gadget Java che porta a RCE (ad es. CommonsBeanUtils1 da ysoserial). Soluzione per questa vulnerabilità: * Per Apache Tapestry 5.4.0 fino a 5.6.1, aggiornare a 5.6.2 o versioni successive. * Per Apache Tapestry 5.7.0, aggiornare a 5.7.1 o versioni successive.

• CVE-2021-27850_POCExploit

  Una prova di concetto per CVE-2021-27850 che riguarda Apache Tapestry e porta a esecuzione remota di codice non autenticata.