Внимание, Java 0-day exploit

Зашёл я сегодня как обычно на securitylab и сразу же заинтересовался следующей новостью. Из статьи стало ясно, что совсем недавно обнаружилась неизвестная java уязвимость нулевого дня. Попробуем во всём разобраться. Сразу говорю, что уязвимость вышла на славу, а поэтому настоятельно рекомендую всем отключить поддержку java в своих браузерах. Причём уязвимости подвержено всё, что только можно, начиная от Windows и IE и заканчивая Mac и Safari. Проверить свой браузер можно тут.

Прочитав статью и перейдя по ссылке, попадаем на такую вот страницу. Наша цель – получить работающий PoC, протестировать его на виртуальной машине и оценить уровень своей безопасности. А поэтому не плохо было бы для этого узнать источник первоначального заражения. Но какая жалость – на сайте замазан требуемый адрес:




Но это не должно остановить опытного пользователя google – попробуем передать поисковику такой запрос:

url:meeting/hi.exe


И сразу же получаем желаемое (WTF??? О чем они думали, когда публиковали это???). Тут можно пойти двумя путями: либо ручной анализ уязвимости и полное погружение в проблему, либо снова юзать google. Рассмотрим сначала второй путь, а первый, может быть, я опишу в своей следующей статье (если, конечно, получу инвайт после нелепого бана).

Итак, порывшись в интернете, находим это и начинаем тестирование. Перед нами уже написанный, готовый к использованию модуль metasploit (исходный код можно взять тут). Начинаем тестирование. Обновляем metasploit, затем:

use multi/browser/java_jre17_exec


set payload java/shell/reverse_tcp


...


etc...


...


exploit




And full pwn! Сказать больше нечего. Срочно всем отключать java в браузере. Исходный код уязвимости можно посмотреть тут. Как оказалось — уязвимость не использует переполнение буфера, как это обычно бывает, а возникшая ситуация — просто концептуальная недоработка. Так показалось мне на первый взгляд, а продолжение и тщательный разбор уязвимости возможно появятся в скором времени.