CVE-2016-1000027 的 PoC

这是一个受 CVE-2016-1000027 影响的演示 Spring Boot 应用程序。

漏洞复现步骤

1. 启动存在漏洞的服务器 com.gypsyengineer.server.Server。
2. 运行 com.gypsyengineer.client.Exploit。

Exploit 类读取 payload.bin 并将其发送给存在漏洞的服务器。 payload.bin 包含由 ysoserial 生成的 payload。 当前的 payload.bin 是 CommonsCollections5，它会运行 gedit：

java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections5 gedit > payload.bin

如何修复受 CVE-2016-1000027 影响的应用程序

该问题尚未在 Spring Framework 中修复。参见 https://github.com/spring-projects/spring-framework/issues/24434

以下是一些可以在应用程序端采取的措施。

1. 最佳做法是停止使用 HttpInvokerServiceExporter 和 RemoteInvocationSerializingExporter 类。 它们已被弃用，很可能在 Spring Framework 的后续版本中被移除。
2. 不要接受基于这些易受攻击类的端点中的不可信数据。
3. 使用 JEP 290 引入的序列化过滤器。

链接

1. [R2] Pivotal Spring Framework HttpInvokerServiceExporter readRemoteInvocation Method Untrusted Java Deserialization
2. OWASP: 不可信数据的反序列化
3. 本应用程序基于 此项目 构建。