CVE-2023-23638

Solo a scopo di studio e ricerca

ZooKeeper da fornire autonomamente

L'ambiente di test è Java 8, le altre versioni non sono state testate, non è garantita l'usabilità

Per la riproduzione è necessario aggiungere il parametro VM a DemoComsumer: -Ddubbo.hessian.allowNonSerializable=true, per i dettagli fare riferimento a https://su18.org/post/hessian/#serializable

Articolo di analisi: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/

L'essenza del POC è utilizzare una class per modificare le properties al fine di aggirare le restrizioni. Il codice fornisce un'iniezione JNDI; è possibile fare riferimento a CVE-2023-23638 Apache Dubbo JavaNative - Analisi della vulnerabilità di deserializzazione per modificarlo autonomamente in un metodo di sfruttamento per deserializzazione