CVE-2017-3066

설명

Adobe ColdFusion은 Action Message Format(AMF)을 사용합니다. AMF 프로토콜은 사용자 정의 이진 직렬화 프로토콜입니다. 두 가지 형식(AMF0 및 AMF3)이 있습니다. Action 메시지는 헤더와 바디로 구성됩니다. 다양한 언어로 AMF 구현이 존재합니다. Java의 경우 Adobe BlazeDS(현재 Apache BlazeDS)가 있으며, 이는 Adobe ColdFusion에서도 사용됩니다. Adobe ColdFusion은 Apache BlazeDS 라이브러리에서 신뢰할 수 없는 Java 객체를 처리할 때 Java 역직렬화 결함의 영향을 받으며, 이로 인해 공격자가 원격 코드 실행 취약점으로 원격 공격을 수행할 수 있습니다.

취약한 버전

업데이트 버전

취약한 버전과 업데이트 버전 비교

WinMerge 업데이트 파일:

flex-messaging-core.jar 라이브러리에는 유효성 검사를 수행하는 flex.messaging.validators.ClassDeserializationValidator 클래스가 포함되어 있습니다. 따라서 Java 디컴파일러를 사용하여 별도로 디컴파일한 후 WinMerge에서 다시 비교했습니다.

설치

설치 및 익스플로잇: https://github.com/vulhub/vulhub/tree/master/coldfusion/CVE-2017-3066

Suricata

"test.rules " 파일에는 Suricata 유틸리티에 대한 규칙이 있습니다. 이 규칙은 네트워크 트래픽이 익스플로잇 가능한 취약점을 탐지할 수 있도록 합니다. 규칙은 /etc/suricata/suricata file.yaml 파일에 연결되어 있습니다:

    default-rule-path: /etc/suricata 
    rule-files: 
     - test.rules

실행:

suricata -c /etc/suricata/suricata.yaml –I ens33

로그 /var/log/suricata/fast.log

시그니처 79 73 6F 73 65 72 69 61 = ysoserial