CVE-2019-17564 Gadget FastJson + SpringFramework per Dubbo 2.7.3

La nostra analisi completa è disponibile su https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability

Nota che questo non è un exploit; è una catena di gadget POC utilizzata in un exploit per dimostrare la deserializzazione in scope che contengono determinate dipendenze.

Panoramica

Codice di base per creare la catena di gadget Alibaba FastJson + Spring, come utilizzata per sfruttare Apache Dubbo nella CVE-2019-17564. Questo codice stampa e deserializza localmente un gadget basato sulle dipendenze disponibili nello scope di Dubbo 2.7.3, Dubbo Common 2.7.3 e Spring Framework

Struttura della catena di gadget

1. HashMap.putVal(h,k,v) a. Il risultato di hashCode(), h, è identico per gli oggetti HotSwappableTargetSource, innescando una chiamata più approfondita a equals() sulle chiavi della HashMap quando viene inserito un secondo valore
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

Crediti

I crediti vanno a Chris Frohoff e Moritz Bechler per la loro ricerca e i loro strumenti (ysoserial e marshalsec), poiché parte del loro codice è stato usato nella catena di gadget e la loro ricerca ha gettato le fondamenta per questo exploit.

I crediti vanno anche a Checkmarx, che rende possibile questo tipo di ricerca, e al nostro fantastico gruppo di ricerca per aver proposto idee, svolto revisioni e sopportato il fatto che non smetto mai di parlare di questo genere di cose.