CVE-2023-38647

Apache Helix — niekontrolowana deserializacja YAML umożliwiająca RCE

CVSS 9.8v3.1pub. 2023-07-26upd. 2024-11-21

Podatność w Apache Helix pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE) poprzez niekontrolowaną deserializację obiektów YAML. Dotyczy komponentów helix-core oraz helix-rest we wszystkich wersjach do 1.2.0 włącznie.

▸ Pokaż oryginał (EN)

An attacker can use SnakeYAML to deserialize java.net.URLClassLoader and make it load a JAR from a specified URL, and then deserialize javax.script.ScriptEngineManager to load code using that ClassLoader. This unbounded deserialization can likely lead to remote code execution. The code can be run in Helix REST start and Workflow creation. Affect all the versions lower and include 1.2.0. Affected products: helix-core, helix-rest Mitigation: Short term, stop using any YAML based configuration and workflow creation. Long term, all Helix version bumping up to 1.3.0

🤖 Analiza AI

Jak działa

Atakujący wykorzystuje bibliotekę SnakeYAML do deserializacji obiektu java.net.URLClassLoader, wskazując dowolny adres URL, z którego ładowany jest złośliwy plik JAR. Następnie deserializowany jest obiekt javax.script.ScriptEngineManager, który ładuje i wykonuje kod zawarty w tym pliku JAR przy użyciu wcześniej utworzonego ClassLoadera. Brak ograniczeń na proces deserializacji sprawia, że atak może zostać przeprowadzony podczas uruchamiania Helix REST lub tworzenia Workflow — bez konieczności uwierzytelnienia.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem poprzez zdalne wykonanie dowolnego kodu (RCE), co zagraża poufności, integralności i dostępności systemu.

Mitygacja

Krótkoterminowo: zaprzestać używania konfiguracji opartej na YAML oraz tworzenia Workflow przy użyciu YAML. Długoterminowo: zaktualizować Apache Helix do wersji 1.3.0 lub nowszej.