CVE-2020-7799：FreeMarker模板FusionAuth RCE复现

因为使用了Apache FreeMarker engine(freemarker-2.3.28.jar), 所以可以使用 freemarker 的语法, 类似 ${XXX? Built-ins} 而 new 这个 Built-ins 会 创建一个特定 TemplateModel 的 变量。

要求?左边是TemplateModel,也就是 freemarker.template.utility.Execute, 而右边就是 initialize 这个 object 时的参数。

下载 FusionAuth 1.10.0（本次使用 FusionAuth 1.10.0 进行测试）

https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.10.0/fusionauth-app-1.10.0.zip

1. 将文件解压之后随便放一个位置

2. 启动 MySQL /etc/init.d/mysql start

3. 启动 ElasticSearch systemctl start elasticsearch.service

4. 启动 FusionAuth bin/startup.sh

   

5. 打开网址http://127.0.0.1:9011/配置 FusionAuth

1. 1. 先配置数据库

      
      

       

   2. 配置 Elastic Search

      
      

       

   3. 创建好用户之后就可以登录了

       

      

参考链接：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7799