脆弱性情報 アドバイザリID: SYSS-2019-039 製品: Protection Licensing Toolkit、SoapUI/LoadUI/ServiceV Pro メーカー: jProductivity LLC、SmartBear Software 影響を受けるバージョン: ReadyAPI 3.2.5 テスト実施バージョン: ReadyAPI 3.2.5 脆弱性の種類: 安全でないデシリアライization / リモートコード実行（CWE-502） リスクレベル: 高 概要 jProductivity Protection! は、ソフトウェアベンダーによって使用されるライセンス管理ツールキットです。 ReadyAPI は jProductivity Protection のライセンスソリューションを使用しています。 脆弱性の詳細 jProductivity Protection Licensing Toolkit は、デシリアライゼーション攻撃に対して脆弱な RMI ベースのネットワークプロトコルを使用しています。 ReadyAPI の場合、この脆弱性はクライアント側でのリモートコード実行に悪用可能です。 概念実証（PoC） 悪意あるシリアライズされたオブジェクトグラフを返す JRMP/RMI サービスを設定します。 不正なサーバーからライセンスをCheckoutする際、RMI 呼び出しにより攻撃者が提供したデータのデシリアライゼーションが発生し、任意のコードが実行されます。 解決策 Java のシリアライゼーションに基づくネットワークプロトコルの使用を避けてください。 使用が避けられない場合は、厳格なホワイトリストベースのフィルタリングを使用してください。 開示タイムライン 2019-08-08: 脆弱性を発見 2019-09-02: メーカーへの報告 2020-05-18: 公開 参照 [1] jProductivity Protection! の製品ウェブサイト [2] ReadyAPI の製品ウェブサイト [3] SYSS セキュリティアドバイザリ: SYSS-2019-039 [5] ysoserial プロジェクト クレジット SySS GmbH の Moritz Bechler 氏によって発見