CVE-2016-2173 - Spring AMQP 원격 코드 실행 - 앱 테스트

설명

org.springframework.core.serializer.DefaultDeserializer 클래스는 역직렬화된 객체를 화이트리스트에 대해 검증하지 않습니다. Chris Frohoff의 Commons Collection 가젯과 같은 조작된 직렬화 객체를 제공하면 원격 코드 실행이 가능합니다.

영향을 받는 버전

1.0.0 ~ 1.5.4

공급업체

Pivotal의 Spring

설치

- Maven 3.x+
- Java 1.7+
- [RabbitMQ](https://www.rabbitmq.com/download.htm)

취약점 앱 실행

- mvn eclipse:eclipse
- import project
- run project (App)