Apache Dubbo CVE-2019-17564 反序列化分析

警告
本文最后更新于 2020-02-16,文中内容可能已过时。

Apache Dubbo HTTP协议中的一个反序列化漏洞(CVE-2019-17564)

Apache Dubbo支持多种协议,官方推荐使用Dubbo协议。Apache Dubbo HTTP协议中的一个反序列化漏洞(CVE-2019-17564),该漏洞的主要原因在于当Apache Dubbo启用HTTP协议之后,Apache Dubbo对消息体处理不当导致不安全反序列化,当项目包中存在可用的gadgets时即可导致远程代码执行。

2.7.0 <= Apache Dubbo <= 2.7.4.1 2.6.0 <= Apache Dubbo <= 2.6.7 Apache Dubbo = 2.5.x

Dubbo 需要zookeeper,我采用虚拟机中的docker来搭建zookeeper环境。

1
docker run --rm --name zookeeper -p 2181:2181 zookeeper

https://y4er.com/img/uploads/20200216174838.png

查看虚拟机是否开放2181端口

https://y4er.com/img/uploads/20200216172205.png

下载官方的Dubbo http样例 https://github.com/apache/dubbo-samples/tree/master/java/dubbo-samples-http 导入idea

修改Dubbo为有反序列化漏洞的版本,我改为2.7.3

https://y4er.com/img/uploads/20200216170054.png

因为Dubbo并没有可用的gadget,我们使用Commons-Collection4.4.0的gadget,所以在pom.xml中加入其依赖。

1
2
3
4
5
<dependency>
    <groupId>org.apache.commons</groupId>
    <artifactId>commons-collections4</artifactId>
    <version>4.0</version>
</dependency>

此时我们还要修改spring/http-provider.xml来指定zookeeper的IP

https://y4er.com/img/uploads/20200216171596.png

改端口是因为8080端口和Burp的端口冲突了。修改完毕之后,启动HttpProvider。在控制台输出dubbo service started字样即表示启动成功。

ysoserial生成payload

1
java -jar ysoserial.jar CommonsCollections4 calc > 1.ser

burp发包

https://y4er.com/img/uploads/20200216172101.png

断点 dubbo-2.7.3.jar!/org/apache/dubbo/remoting/http/servlet/DispatcherServlet.class:43

https://y4er.com/img/uploads/20200216172086.png

跟进到 org.apache.dubbo.rpc.protocol.http.HttpProtocol.InternalHandler#handle

https://y4er.com/img/uploads/20200216178969.png

获取了URI、请求方式和RPC调用的上下文,然后进入handleRequest()

https://y4er.com/img/uploads/20200216173990.png

handleRequest()将request请求对象传入一个参数的readRemoteInvocation(),然后将request和request.getInputStream()传入其重载方法两个参数的readRemoteInvocation(),然后创建了ois对象,ois对象中包含了post请求的数据,然后进入doReadRemoteInvocation()

https://y4er.com/img/uploads/20200216177168.png

到达readObject(),整个过程ois对象没有过滤,而ois中又包含了post报文,导致反序列化漏洞,如果存在可用的gadget,会导致RCE。

升级Apache Dubbo到最新版本

https://qiita.com/shimizukawasaki/items/39c9695d439768cfaeb5 https://www.mail-archive.com/dev@dubbo.apache.org/msg06225.html http://dubbo.apache.org/zh-cn/blog/dubbo-zk.html https://video.twimg.com/tweet_video/EQlT6nBUEAADdR2.mp4

文笔垃圾,措辞轻浮,内容浅显,操作生疏。不足之处欢迎大师傅们指点和纠正,感激不尽。