PoC для CVE-2016-1000027

Это демонстрационное приложение Spring Boot, которое подвержено уязвимости CVE-2016-1000027.

Шаги для воспроизведения уязвимости

1. Запустите уязвимый сервер com.gypsyengineer.server.Server.
2. Запустите com.gypsyengineer.client.Exploit.

Класс Exploit читает payload.bin и отправляет его на уязвимый сервер. payload.bin содержит полезную нагрузку, сгенерированную с помощью ysoserial. Текущий payload.bin — это CommonsCollections5, который запускает gedit:

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

Как исправить приложение, которое подвержено уязвимости CVE-2016-1000027

Проблема не была исправлена в Spring Framework. См. https://github.com/spring-projects/spring-framework/issues/24434

Вот что можно сделать на стороне приложения.

1. Лучший способ — перестать использовать классы HttpInvokerServiceExporter и RemoteInvocationSerializingExporter. Они уже объявлены устаревшими (deprecated) и, скорее всего, будут удалены в следующих версиях Spring Framework.
2. Не принимайте недоверенные данные на конечных точках (endpoints), которые основаны на этих уязвимых классах.
3. Используйте фильтры сериализации, которые были введены в JEP 290.

Ссылки

1. [R2] Pivotal Spring Framework HttpInvokerServiceExporter readRemoteInvocation Method Untrusted Java Deserialization
2. OWASP: Десериализация недоверенных данных
3. Приложение основано на этом.