OkHttp simple-client app vulnerabile a CVE-2016-2402

Questo è un fork del simple-client predefinito del progetto okhttp.

Simple-client è un'app Java che effettua una richiesta GET a https://api.github.com e recupera i nomi dei contributori di okhttp.

Questo fork è stato modificato in modo che OkHttp 3.0.1 venga utilizzato per le connessioni di rete e venga usato anche il certificate pinning.

OkHttp 3.0.1 è vulnerabile a CVE-2016-2402 - questa app dimostra la falla.

Per maggiori informazioni, leggere:

• https://koz.io/pinning-cve-2016-2402
• https://www.cigital.com/blog/ineffective-certificate-pinning-implementations/

Compilazione

Per compilare l'app, prima clona il repository e poi esegui:

ant build

Utilizzo

Se non hai la chiave privata di una CA considerata attendibile dalla JRE del tuo sistema, dovrai aggiungere il certificato del proxy al tuo store di CA. Supponiamo che CA_CERT.pem sia il certificato CA del tuo proxy.

$cp /etc/ssl/certs/java/cacerts .

$keytool -import -trustcacerts -alias ikozCA -file CA_CERT.pem -keystore cacerts -storepass changeit

Quindi avvia simple-client usando i seguenti parametri per connetterti tramite un proxy locale

$java -DproxyHost=127.0.0.1 -DproxyPort=8080 -Djavax.net.ssl.trustStore=cacerts -jar certPinningVulnerableOkHttp.jar

John Kozyrakis