CVE-2019-17564 Dubbo 2.7.3 向け FastJson + SpringFramework ガジェット

完全な解説は https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability で入手できます。

なお、これはエクスプロイトではありません。これは、特定の依存関係を含むスコープ内でデシリアライゼーションを実証するためにエクスプロイト内で使用される POC ガジェットチェーンです。

概要

このコードは、CVE-2019-17564 で Apache Dubbo を悪用するために使用される、Alibaba FastJson + Spring ガジェットチェーンを作成するための基本コードです。このコードは、Dubbo 2.7.3、Dubbo Common 2.7.3、Spring Framework のスコープ内で利用可能な依存関係に基づくガジェットを出力し、ローカルでデシリアライズします。

ガジェットチェーンの構造

1. HashMap.putVal(h,k,v) a. HotSwappableTargetSource オブジェクトの場合、hashCode() の結果である h は同一になるため、2 番目の値が挿入されると、HashMap キーに対してより深い equals() 呼び出しがトリガーされます。
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

クレジット

クレジットは、Chris Frohoff 氏と Moritz Bechler 氏の研究とツール (ysoserial および marshalsec) に対して贈られます。ガジェットチェーンでは彼らのコードの一部が使用されており、彼らの研究がこのエクスプロイトの基盤を築きました。

クレジットはまた、この種の研究を可能にしてくれる Checkmarx と、アイデアを出し、レビューし、私がこの種の話題について話し続けることを我慢してくれた素晴らしい研究グループに対しても贈られます。