CVE-2016-1000027 の PoC

これは、CVE-2016-1000027 の影響を受けるデモの Spring Boot アプリケーションです。

脆弱性再現手順

1. 脆弱性のあるサーバー com.gypsyengineer.server.Server を起動します。
2. com.gypsyengineer.client.Exploit を実行します。

Exploit クラスは payload.bin を読み取り、脆弱なサーバーに送信します。 payload.bin には ysoserial で生成されたペイロードが含まれています。 現在の payload.bin は CommonsCollections5 で、gedit を実行します:

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

CVE-2016-1000027 の影響を受けるアプリケーションの修正方法

この問題は Spring Framework では修正されていません。 https://github.com/spring-projects/spring-framework/issues/24434 を参照してください。

アプリケーション側でできることは次のとおりです。

1. 最善の方法は、HttpInvokerServiceExporter および RemoteInvocationSerializingExporter クラスの使用をやめることです。 これらはすでに非推奨であり、Spring Framework の次のバージョンで削除される可能性があります。
2. これらの脆弱なクラスに基づくエンドポイントでは、信頼できないデータを受け入れないでください。
3. JEP 290 で導入されたシリアル化フィルターを使用します。

リンク

1. [R2] Pivotal Spring Framework の HttpInvokerServiceExporter における readRemoteInvocation メソッドの信頼できない Java デシリアライゼーション
2. OWASP: 信頼できないデータのデシリアライゼーション
3. このアプリケーションはこちらに基づいています。