CVE-2017-3066

Descrizione

Adobe ColdFusion utilizza il formato dei messaggi Action (AMF). Il protocollo AMF è un protocollo di serializzazione binaria personalizzato. Ha due formati: AMF0 e AMF3. Un messaggio Action è composto da header e body. Esistono diverse implementazioni di AMF in diversi linguaggi. Per Java abbiamo Adobe BlazeDS (ora Apache BlazeDS), che viene utilizzato anche in Adobe ColdFusion. Adobe ColdFusion è affetto da un difetto di deserializzazione Java nella sua libreria Apache BlazeDS quando gestisce oggetti Java non attendibili, che consente ulteriormente all'attaccante di attaccare da remoto come vulnerabilità di Remote Code Execution.

Versione Vulnerabile

Versione Aggiornata

Confronto tra versione vulnerabile e aggiornata

WinMerge File aggiornati:

La libreria flex-messaging-core.jar contiene la classe flex.messaging.validators.ClassDeserializationValidator che esegue la validazione. Pertanto, è stata decompilata separatamente utilizzando il decompilatore Java e nuovamente avviata per il confronto in WinMerge.

Installazione

Installazione ed exploit: https://github.com/vulhub/vulhub/tree/master/coldfusion/CVE-2017-3066

Suricata

Nel file "test.rules " è presente una regola per l'utilità Suricata. La regola consente di rilevare vulnerabilità sfruttabili nel traffico di rete. La regola è collegata nel file /etc/suricata/suricata file.yaml:

    default-rule-path: /etc/suricata 
    rule-files: 
     - test.rules

ESEGUI:

suricata -c /etc/suricata/suricata.yaml –I ens33

Log /var/log/suricata/fast.log

Firma 79 73 6F 73 65 72 69 61 = ysoserial