CVE-2017-7525 Лаборатория небезопасной десериализации Java

Базовое Java REST-приложение, уязвимое к небезопасной десериализации, приводящей к RCE (удалённому выполнению кода).

Проект должен запускаться на Java < 8u45

Основано на Maven со следующими зависимостями:

• jackson-databind 2.2.2
• commons-collections 3.1
• spring-context-support 4.3.11

Дополнительные зависимости можно добавить через Maven, если вы хотите попробовать другие гаджеты (gadgets).

Запуск

Откройте (рекомендуется Intellij Idea) и запустите Java-класс в src/main/java/com/deserialization/lab/Main.java.

Затем перейдите по адресу http://localhost:9091/api/

Открытые API

• GET /api/message : возвращает сериализованный объект, полезный для создания полезной нагрузки (payload)
• POST /api/message : принимает полезную нагрузку, десериализует её и возвращает созданный экземпляр в качестве ответа

CVE

Приложение фактически уязвимо почти ко всем CVE для Jackson Databind.

Ссылки

ysoserial
Exploiting the Jackson RCE: CVE-2017-7525
Java Deserialization Cheat Sheet
Marshalsec PDF

Загрузки JDK

Jdk 8 Archive
Jdk 8u11 Linux x64

Авторы

alp4ca
rhpco