SnakeYAML-CVE-2022-1471-POC

Veracodeブログ用のコード

コード実行を実証するには、以下の手順に従ってください。

1. Mavenを使用してプロジェクトをビルドします。
2. python3 -m http.server 8080 を実行してHTTPサーバーを起動します。
3. exploit.java を実行します。サーバー上でHTTP GETリクエストが確認できるはずです。
4. SnakeYAML 2.0が攻撃を防止する方法を実証するには、pom.xml内の1.33依存関係をコメントアウトします。
5. 2.0依存関係のコメントを解除し、プロジェクトを再ビルドします。
6. exploit.java をコメントアウトし、Poc.java のコメントを解除します。
7. Poc.java を実行し、GETリクエストが発生しないことを確認します。