PoC per CVE-2016-1000027

Questa è un'applicazione demo Spring Boolt che è affetta da CVE-2016-1000027.

Passaggi per riprodurre la vulnerabilità

1. Avvia un server vulnerabile com.gypsyengineer.server.Server.
2. Esegui com.gypsyengineer.client.Exploit.

La classe Exploit legge payload.bin e lo invia al server vulnerabile. payload.bin contiene un payload generato da ysoserial. L'attuale payload.bin è CommonsCollections5 che esegue gedit:

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

Come correggere un'applicazione affetta da CVE-2016-1000027

Il problema non è stato corretto in Spring Framework. Vedi https://github.com/spring-projects/spring-framework/issues/24434

Ecco cosa si può fare lato applicazione.

1. Il modo migliore è smettere di usare le classi HttpInvokerServiceExporter e RemoteInvocationSerializingExporter. Sono già deprecate e probabilmente verranno rimosse nelle prossime versioni di Spring Framework.
2. Non accettare dati non attendibili negli endpoint basati su queste classi vulnerabili.
3. Utilizzare i filtri di serializzazione introdotti da JEP 290.

Link

1. [R2] Pivotal Spring Framework HttpInvokerServiceExporter readRemoteInvocation Method Untrusted Java Deserialization
2. OWASP: Deserializzazione di dati non attendibili
3. L'applicazione è basata su questo.