Apache Axis 远程代码执行缝隙安全公告

颁布功夫 2019-04-12

缝隙编号和级别


CVE编号：CVE-2019-0227，危险级别：高危，CVSS分值：官方未评定


受影响的版本


Apache Axis Version = 1.4


不受影响版本


Apache Axis2 所有版本（目前临时没有发现Axis2的服务存在表联景象）


缝隙概述


Apache Axis是美国阿帕奇（Apache）软件基金会的一个开源、基于XML的Web服务架构。该产品蕴含了Java和C++说话实现的SOAP服务器，以及各类公用服务及API，以天生和部署Web服务利用。


Axis附带的默认服务StockQuoteService.jws蕴含一个硬编码的HTTP URL，可用于触发HTTP要求。攻击者能够通过域名（www.xmltoday.com）收受或者通过ARP糊弄服务器从而执行MITM攻击，并将HTTP要求沉定向到恶意Web服务器，在Apache Axis服务器上远程执行代码（CVE-2019-0227）。


目前为了预防域名www.xmltoday.com被恶意攻击者利用，已经有白帽子将其采办。


缝隙验证


POC：https://github.com/RhinoSecurityLabs/CVEs/tree/master/CVE-2019-0227。


在Axis的默认装置中，有一个名为“StockQuoteService.jws”的默认示例Web服务，能够公开接见。此服务的主张是举例注明您能够使用Java Web Service执行的操作。此特定示例旨在从驻留在表部URL上的表部服务检索股票代码的价值� ？匆幌抡庀罘竦拇�，它在向www.xmltoday.com发出HTTP要求以检索一些XML并显示从响应中解析出来的股票代码的价值。鄙人面的屏幕截图中，能够看到对表部服务执行HTTP要求的代码，www.xmltoday.com。 

 

GA黄金甲·(中国区)官方网站


XMLUtils.newDocument“尝试从要解析的域中检索XML文档。由于用户节造发送到www.xmltoday.com的“符号”参数，去看下www.xmltoday.com能够看到该域名可供任何人采办。

 

GA黄金甲·(中国区)官方网站


由于www.xmltoday.com在销售，这意味着我们能够采办此域并将其设置为将任何要求沉定向到特造的localhost URL。将此与SSRF与RCE技巧相结合，就能够在职何Axis服务器上获得远程代码执行。为了验证这一点，看下“XMLUtils.newDocument”函数若何处置沉定向。下图显示了“XMLUtils.newDocument”使用的“HttpURLConnection”的属性。

 

GA黄金甲·(中国区)官方网站


查看Axis源中的XMLutils，能够看到“setInstanceFollowRedirects”属性设置为“true”。这证实了“XMLUtils.newDocument”现实上会遵循沉定向。


占有此域并不是滥用“StockQuoteService.jws”或来自Axis服务器的任何其他HTTP要求的唯一步骤。由于要求是通过HTTP进行的，这意味着若是您与Axis服务器位于统一网络上，则能够执行针对该服务器的中央人攻击，而后使用“StockQuoteService.jws”触发器或期待HTTP要求并再次将此要求沉定向到localhost以利用SSRF技巧。利用它的步骤如下：ARP中毒指标Axis服务器。


将任何HTTP流量沉定向到您自己的Web服务器。


沉定向到特造的localhost URL，该URL在Axis中启动服务。


触发HTTP要求以沉定向要求“StockQuoteService.jws”。


缝隙利用成功如下图：

 

GA黄金甲·(中国区)官方网站


建复建议


若是在使用Axis，能够删除Axis根目录中StockQuoteService.jws文件。
确保在Axis或Axis2中运行的任何库或服务不存在表联的HTTP/HTTPS要求。
Apache Axis2的下载地址为：

http://axis.apache.org/axis2/java/core/download.html


参考链接


https://rhinosecuritylabs.com/application-security/cve-2019-0227-expired-domain-rce-apache-axis/