日前知名在线支付公司paypal被曝存在严重的远程代码执行漏洞，攻击者可以利用该漏洞在paypal的web应用服务器上执行恶意命令，最终获得服务器控制权限。
漏洞描述
这个远程代码执行漏洞由独立安全研究员milan a solanki发现，被vulnerability lab评为严重，通用漏洞评分系统(cvss)分数达到了9.3，漏洞影响了paypal的在线营销web应用服务器。
该漏洞存在于服务器中的java调试线协议(java debug wire protocol, jdwp)，攻击者可以在未授权的情况下执行系统命令，从而获得目标服务器的控制权。
jdwp是用于调试器和被调试的 java 虚拟机之间通信的一种协议。它是java平台调试体系结构(java platform debugger architecture, jpda)的第一层。
由于jdwp并不需要任何授权，这就会被黑客们利用，在web服务器上远程执行恶意代码。
演示视频
安全研究人员提供了漏洞概念验证(poc)视频，他先使用github上的jdwp-shellifier工具扫描网站，然后找到了开放8000端口的服务器。8000端口让他能够在未经授权的情况下连接paypal服务，然后以root权限在服务器端执行代码。
目前paypal已修复了该漏洞。
作者：sphinx
来源：51cto