Jmeter RMI 역직렬화 명령 실행 취약성 (CVE-2018-1297)

Apache JMeter는 미국 아파치 소프트웨어 재단(American Apache Software Foundation)이 스트레스 테스트 및 성능 테스트를 위해 Java 언어로 작성한 오픈 소스 소프트웨어 세트입니다.
2.x 및 3.x 버전에는 역직렬화 취약점이 있으며, 공격자는 이 취약점을 이용하여 대상 서버에서 임의의 명령을 실행할 수 있습니다.

취약성 환경 실행 :

저는 칼리 리눅스에서 docker를 이용했습니다.

실행이 완료되면 RMI 서비스가 시작되고 포트 1099를 수신합니다.

취약점 :

ysoserial을 직접 사용하여 취약점 공격을 시행합니다.

위와 같은 명령어를 입력합니다.
BeanShell1이라는 익스플로잇 체인을 이용했습니다.

를 사용하여 컨테이너에 들어가면 '/tmp/success'가 성공적으로 생성된 것을 알 수 있습니다.

정리

이 취약점은 Java 기반의 애플리케이션에서 발생할 수 있는 RMI(Remote Method Invocation) 취약점을 악용하는 것입니다.
여기에서 사용된 ‘ysoserial-0.0.6-SNAPSHOT-all.jar’는 ysoserial 프로젝트의 일부이며, java 직렬화 취약점을 악용하여 원격 코드 실행을 허용하는 페이로드를 생성하는 데 사용됩니다.

이 페이로드는 /tmp/success와 같은 명령을 실행하려는 목적을 가지고 있으며, 이 취약점을 통해 공격자는 원격 시스템에서 임의의 명령을 실행하거나 시스템 파일을 수정할 수 있습니다.
이 취약점을 방해하기 위한 조치로는 RMI 서비스의 액세스 제한, 엄격한 권한 제어 및 java 직렬화 필터링 등이 있습니다.