CVE-2024-24824

概要

Graylogは、無料かつオープンソースのログ管理プラットフォームです。バージョン2.0.0以降、5.1.11および5.2.4より前のバージョンでは、`/api/system/cluster_config/`エンドポイントへのHTTP PUTリクエストを使用して、任意のクラスをロードおよびインスタンス化できます。Graylogのクラスタ設定システムは、完全修飾クラス名を設定キーとして使用します。リクエストされたクラスの存在を検証するために、Graylogはクラスローダーを使用してクラスをロードします。適切な権限を持つユーザーがリクエストを実行すると、1つのString引数を持つコンストラクタを持つ任意のクラスをインスタンス化できます。これにより、クラスのインスタンス化中に実行される任意のコードが実行されます。`java.io.File`の特定の使用例では、内部Webサーバースタックの動作により、RESTリクエストへの応答にファイルの全内容が含まれ、情報漏えいが発生します。バージョン5.1.11および5.2.4には、この問題の修正が含まれています。

• graylog-cve-2024-24824-exploitエクスプロイト

  CVE-2024-24824の概念実証エクスプロイト。任意のクラスローディングプリミティブを脆弱なGraylog環境におけるリモートコード実行に変換する方法を示しています。