Klein Jacques

Pastebin est un simple service de mise en ligne de portions de textes bruts qui a gagné en popularité, notamment chez les développeurs. Ces morceaux de textes sont appelés des pastes, en référence à l’anglais copy/paste (copier/coller). Les pastes créés ont, la plupart du temps, une visibilité publique et sont accessibles par tous. Cependant, les problèmes de sécurité que ces derniers posent peuvent être importants et avoir de lourdes conséquences. En effet, certains utilisateurs de ces services, sous couvert d’une adresse web générée aléatoirement à l’aide de tokens, imaginent que seuls eux ont accès au contenu. Toutefois, nous allons voir dans cet article que la nature publique du contenu partagé permet à tous d’avoir accès à des données sensibles. Nous verrons également comment les opérateurs malintentionnés s’en servent à des fins malveillantes.

Les processus de sérialisation et de désérialisation Java ne manipulent que des données et non du code. Malheureusement, comme pour une chaîne ROP, il est possible de combiner des « gadgets » Java pour exécuter du code arbitraire lorsque la désérialisation s’effectue sur des données contrôlées par un attaquant. Nous présentons dans cet article une vulnérabilité de désérialisation affectant directement les libraires standards de la machine virtuelle Java.

Certaines librairies Java permettent de transformer un objet en un flux d’octets et vice-versa. Ces processus sont appelés sérialisation et déserialisation, respectivement. Ces processus ne manipulent qu’un flux d’octets qui représente des données et non du code. Nous présentons dans cet article les bases de la sérialisation en Java et nous analysons une méthode présente dans les libraires standards de la machine virtuelle Java qui ouvre la porte à une vulnérabilité de désérialisation.

Pour continuer dans la lignée des vulnérabilités Java, nous allons présenter ici une preuve de concept pour un exploit basé sur la vulnérabilité du CVE-2017-3272 qui atomise la sandbox Java. Heureusement, cette vulnérabilité n’affecte « que » 5 versions publiques de Java 8.