Критическая уязвимость удаленного выполнения кода без аутентификации была обнаружена во всех последних версиях Apache Tapestry. Уязвимые версии включают 5.4.5, 5.5.0, 5.6.2 и 5.7.0. Обнаруженная мной уязвимость является обходом исправления для CVE-2019-0195. Краткое изложение: До исправления CVE-2019-0195 можно было загружать произвольные файлы классов из classpath, предоставив специально созданный URL-адрес файла ресурса. Злоумышленник мог загрузить файл AppModule.class, запросив URL-адрес http://localhost:8080/assets/something/services/AppModule.class, который содержит секретный ключ HMAC. Исправлением этой ошибки был фильтр черного списка, который проверяет, заканчивается ли URL-адрес на .class, .properties или .xml. Обход: К сожалению, решение с черным списком можно просто обойти, добавив / в конце URL-адреса: http://localhost:8080/assets/something/services/AppModule.class/. Слэш удаляется после проверки черного списка, и файл AppModule.class загружается в ответ. Этот класс обычно содержит секретный ключ HMAC, который используется для подписи сериализованных Java-объектов. Зная этот ключ, злоумышленник может подписать цепочку Java-гаджетов, которая ведет к RCE (например, CommonsBeanUtils1 из ysoserial). Решение для этой уязвимости: * Для Apache Tapestry с 5.4.0 по 5.6.1 обновитесь до 5.6.2 или более поздней версии. * Для Apache Tapestry 5.7.0 обновитесь до 5.7.1 или более поздней версии.