En un reciente análisis exhaustivo sobre vulnerabilidades informáticas, se ha demostrado cómo un atacante puede ejecutar comandos arbitrarios en un servidor remoto simplemente enviando JSON. Esto es posible si el código ejecutado contiene vulnerabilidades de deserialización insegura. Aunque esta característica puede parecer magia, en realidad trata de una combinación de técnica y esfuerzo.
En esta investigación se ha profundizado en cómo funcionan las vulnerabilidades de deserialización insegura y se ofrecen métodos para detectarlas en proyectos Ruby. Los ejemplos presentados utilizan la librería de serialización JSON para Ruby, Oj, aunque estas vulnerabilidades no se limitan a esta librería en particular. También se han presentando ejemplos que funcionan con otras librerías como Ox (XML), Psych (YAML) y Marshal (formato binario personalizado). La clave de estas vulnerabilidades radica en la capacidad de las librerías de deserialización para soportar el polimorfismo, lo que implica la capacidad de instanciar clases arbitrarias o estructuras similares especificadas en los datos serializados. Un atacante puede encadenar estas clases para ejecutar código en el sistema objetivo.
El ejemplo presentado detallaba cómo construir un gadget de detección de deserialización insegura para Oj. Este gadget llama a una URL externa y está basado en un dispositivo universal de deserialización para Marshal y Ruby 3.0.3 adaptado para Oj y Ruby 3.3. Este gadget se util...