CVE-2019-17564 Gadget FastJson + SpringFramework para Dubbo 2.7.3

Nosso artigo completo está disponível em https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability

Note que isto não é um exploit; é uma cadeia de gadgets POC usada em um exploit para demonstrar desserialização em escopos que contêm certas dependências.

Visão Geral

Código básico para criar a cadeia de gadgets Alibaba FastJson + Spring, usada para explorar o Apache Dubbo no CVE-2019-17564. Este código irá imprimir e desserializar localmente um gadget baseado nas dependências disponíveis no escopo do Dubbo 2.7.3, Dubbo Common 2.7.3 e Spring Framework.

Estrutura da Cadeia de Gadgets

1. HashMap.putVal(h,k,v) a. O resultado de hashCode(), h, é idêntico para objetos HotSwappableTargetSource, acionando uma chamada mais profunda de equals() nas chaves do HashMap quando um segundo valor é inserido
2. HotSwappableTargetSource.equals()
3. XString.equals()
4. com.alibaba.fastjson.JSON.toString()
5. com.alibaba.fastjson.JSON.toJSONString()
6. com.alibaba.fastjson.serializer.MapSerializer.write()
7. TemplatesImpl.getOutputProperties()
8. TemplatesImpl.newTransformer()
9. TemplatesImpl.getTransletInstance()
10. TemplatesImpl.defineTransletClasses()
11. ClassLoader.defineClass()
12. Class.newInstance()
13. MaliciousClass.()
14. Runtime.exec()

Créditos