CVE-2021-27850

Resumo

Uma vulnerabilidade crítica de execução remota de código não autenticada foi encontrada em todas as versões recentes do Apache Tapestry. As versões afetadas incluem 5.4.5, 5.5.0, 5.6.2 e 5.7.0. A vulnerabilidade que encontrei é um contorno da correção da CVE-2019-0195. Recapitulando: Antes da correção da CVE-2019-0195, era possível descarregar ficheiros de classe arbitrários do classpath fornecendo um URL de ficheiro de asset manipulado. Um atacante conseguia descarregar o ficheiro `AppModule.class` ao solicitar o URL `http://localhost:8080/assets/something/services/AppModule.class`, que contém uma chave secreta HMAC. A correção para esse bug foi um filtro de lista negra que verifica se o URL termina com `.class`, `.properties` ou `.xml`. Contorno: Infelizmente, a solução de lista negra pode ser simplesmente contornada acrescentando um `/` no final do URL: `http://localhost:8080/assets/something/services/AppModule.class/` A barra é removida após a verificação da lista negra e o ficheiro `AppModule.class` é carregado na resposta. Esta classe normalmente contém a chave secreta HMAC usada para assinar objetos Java serializados. Com o conhecimento dessa chave, um atacante pode assinar uma cadeia de gadgets Java que leva a RCE (por exemplo, CommonsBeanUtils1 do ysoserial). Solução para esta vulnerabilidade: * Para Apache Tapestry 5.4.0 a 5.6.1, atualize para 5.6.2 ou posterior. * Para Apache Tapestry 5.7.0, atualize para 5.7.1 ou posterior.

• CVE-2021-27850_POCExploit

  Uma prova de conceito para o CVE-2021-27850 que afeta o Apache Tapestry e leva à execução remota de código não autenticada.

• CVE-2021-27850_POC