CVE-2017-7525 Laboratorio di deserializzazione non sicura in Java

Applicazione Java REST di base vulnerabile alla deserializzazione non sicura, che porta a RCE.

Il progetto deve essere eseguito su Java < 8u45

Basato su Maven con le seguenti dipendenze:

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

È possibile aggiungere altre dipendenze tramite Maven se si desiderano provare altri gadget.

Esecuzione

Aprire (consigliato con Intellij Idea) ed eseguire la classe Java in src/main/java/com/deserialization/lab/Main.java.

Quindi visitare http://localhost:9091/api/

API esposte

• GET /api/message : restituisce un oggetto serializzato utile per costruire un payload
• POST /api/message : accetta un payload, lo deserializza e riflette l'istanza generata come risposta

CVE

L'applicazione è in realtà vulnerabile a quasi tutti i CVE di Jackson Databind.

Riferimenti

ysoserial
Sfruttare la RCE di Jackson: CVE-2017-7525
Prontuario sulla deserializzazione Java
PDF di Marshalsec

Download JDK

Archivio JDK 8
JDK 8u11 Linux x64

Autori

alp4ca
rhpco