CVE-2018-1295

Apache Ignite – niebezpieczna deserializacja umożliwia zdalne wykonanie kodu

CVSS 9.8v3.0pub. 2018-04-02upd. 2024-11-21

Apache Ignite 2.3 i wcześniejsze nie posiada listy dozwolonych klas podczas serializacji/deserializacji obiektów, co umożliwia zdalne wykonanie dowolnego kodu (RCE). Podatność jest szczególnie niebezpieczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

In Apache Ignite 2.3 or earlier, the serialization mechanism does not have a list of classes allowed for serialization/deserialization, which makes it possible to run arbitrary code when 3-rd party vulnerable classes are present in Ignite classpath. The vulnerability can be exploited if the one sends a specially prepared form of a serialized object to one of the deserialization endpoints of some Ignite components - discovery SPI, Ignite persistence, Memcached endpoint, socket steamer.

🤖 Analiza AI

Jak działa

Mechanizm serializacji w Apache Ignite nie weryfikuje, które klasy mogą być deserializowane – brak tzw. whitelist dozwolonych klas. Atakujący może spreparować specjalnie skonstruowany obiekt serializowany i przesłać go do jednego z podatnych endpointów: discovery SPI, Ignite persistence, Memcached endpoint lub socket streamer. Jeśli w classpath Ignite znajdują się podatne biblioteki zewnętrzne (third-party), deserializacja złośliwego obiektu prowadzi do wykonania dowolnego kodu po stronie serwera (CWE-502).

Skutki

Atakujący zdalny, nieuwierzytelniony może wykonać dowolny kod na serwerze, co w praktyce oznacza pełne przejęcie kontroli nad systemem, możliwość kradzieży danych, modyfikacji konfiguracji lub dalszego lateral movement w sieci.

Mitygacja

Należy zaktualizować Apache Ignite do wersji wyższej niż 2.3, w której wprowadzono mechanizm listy dozwolonych klas do serializacji/deserializacji. Dostępne są również patche dla środowisk Red Hat opisane w erracie RHSA-2018:2405. Zaleca się dodatkowo ograniczenie dostępu sieciowego do endpointów deserializacji (discovery SPI, Memcached endpoint, socket streamer) za pomocą firewall oraz weryfikację i oczyszczenie classpath z podatnych bibliotek zewnętrznych.