CVE-2019-17564 FastJson + SpringFramework Gadget for Dubbo 2.7.3

전체 분석 글은 https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability 에서 확인할 수 있습니다.

참고: 이것은 익스플로잇이 아닙니다; 특정 의존성을 포함하는 범위에서 역직렬화를 시연하는 데 사용되는 POC 가젯 체인입니다.

개요

Apache Dubbo의 CVE-2019-17564를 익스플로잇하는 데 사용된 Alibaba FastJson + Spring 가젯 체인을 생성하기 위한 기본 코드입니다. 이 코드는 Dubbo 2.7.3, Dubbo Common 2.7.3 및 Spring Framework 범위에서 사용 가능한 의존성을 기반으로 하는 가젯을 출력하고 로컬에서 역직렬화합니다.

가젯 체인 구조

1. HashMap.putVal(h,k,v) a. hashCode()의 결과인 h가 HotSwappableTargetSource 객체에 대해 동일하여 두 번째 값이 삽입될 때 HashMap 키에 대한 더 깊은 equals() 호출을 트리거합니다.
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

크레딧

Chris Frohoff와 Moritz Bechler의 연구와 도구(ysoserial 및 marshalsec)에 감사드립니다. 이들의 코드 일부가 가젯 체인에 사용되었으며, 이들의 연구가 이 익스플로잇의 기초를 마련했습니다.

또한 이러한 유형의 연구를 가능하게 하는 Checkmarx와 아이디어를 제시하고 검토하며 이런 종류의 이야기를 그만두지 않는 점을 참아준 환상적인 연구 그룹에 감사드립니다.