Unsafe Deserialization RCE in ANTLR4 Maven Plugin (CVE-502)

漏洞概述 CVE报告：ANTLR4 Maven插件中不安全Java对象反序列化（无类过滤器） 项目：ANTLR4 Maven插件 仓库：https://github.com/antlr/antlr4 测试版本：4.13.2 报告日期：2025-05-26 严重程度：高 CVE编号：CVE-502（未验证数据的反序列化） 摘要： ANTLR4 Maven插件（ ）使用 而不设置 来反序列化语法依赖状态文件。攻击者可以通过共享CI缓存或TOCTOU竞争条件替换状态文件，利用序列化 gadget 链实现远程代码执行。已确认反序列化器接受任意类名，尝试加载攻击者控制的类。 影响范围 位置： ，第286-293行 漏洞代码： 根本原因： 没有设置 （Java 9 通过 JEP 290 引入），将实例化类路径上的任何可序列化类。Maven 的类路径包括许多库（如 、 、Spring 组件），这些库包含已知的 gadget 链。 工具为至少20个这样的链提供了现成的 payload。此外，在 检查和随后的 之间存在 TOCTOU 竞争条件。 CVSS 3.1 评分： - 评分：7.8（高） - 向量字符串：CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H 修复方案 1. 替换 Java 序列化： - 使用 JSON 或 Protocol Buffers（推荐）。 - 示例代码： 2. 如果保留序列化，添加 ： - 示例代码： 3. 在反序列化前验证文件完整性（HMAC）： - 示例代码： 4. 修复 TOCTOU 竞争条件（#11）： - 使用原子操作替换 检查。 - 示例代码： POC 代码 POC 脚本（Java - 完整）： 实际输出： 影响 机密性：高 — 可访问环境密钥、CI 令牌、SSH 密钥。 完整性：高 — 可修改源代码、注入后门、毒化工件。 可用性：高 — 可破坏构建基础设施。 参考 ANTLR4 GitHub 仓库 CVE-502：未验证数据的反序列化 GrammarDependencies.java 源码 JEP 290：过滤传入序列化数据 ysoserial gadget 链 Java 序列化攻击（OWASP）

目標達成すべての支援者に感謝 — 100%達成しました！

Unsafe Deserialization RCE in ANTLR4 Maven Plugin (CVE-502)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Unsafe Deserialization RCE in ANTLR4 Maven Plugin (CVE-502)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！