Apache ActiveMQ jolokia 远程代码执行漏洞-Toy模板网

这篇具有很好参考价值的文章主要介绍了Apache ActiveMQ jolokia 远程代码执行漏洞。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Apache ActiveMQ jolokia 远程代码执行漏洞,漏洞通告,apache,activemq,网络安全,web安全

漏洞描述

Apache ActiveMQ是一个开源的消息代理和集成模式服务应用，用于实现消息中间件，帮助不同的应用程序或系统之间进行通信。

2023年11月，Apache官方发布新版本修复了ActiveMQ中的一个远程代码执行漏洞（CVE-2022-41678），通过认证的攻击者能够利用该漏洞获取服务器权限。

漏洞成因

该漏洞存在于Jolokia服务的请求处理方式中，结合ActiveMQ的配置不当和Java的高级功能，允许已认证的用户通过发送特定格式的HTTP请求来执行危险操作。ActiveMQ的内部配置允许org.jolokia.http.AgentServlet处理来自/api/jolokia的请求，而没有足够的安全检查来防止恶意操作。

利用特征

攻击者发送到ActiveMQ服务器的HTTP请求包含特定的结构和模式。这些请求主要针对/api/jolokia接口，利用Jolokia的API进行交互。在利用漏洞之前，攻击者首先发送带有有效凭证的认证请求，以获取对Jolokia API的访问权限。

攻击过程中，会观察到一系列的JMX（Java Management Extensions）请求，目的是操纵Java Flight Recorder。这些请求包括newRecording、setConfiguration、startRecording、stopRecording和copyTo等操作。

在setConfiguration请求中，可能会包含异常或非标准的配置数据，这是后续写入Webshell的关键步骤。

最后，copyTo请求会触发对服务器文件系统的操作，导致Webshell被写入特定位置，如jsp文件中。

该利用方法通过Jolokia服务对Java Management Extensions (JMX) MBean的操作实现，主要是针对org.apache.logging.log4j2。攻击者发送的HTTP请求将包含调用setConfigText方法的特定指令，以修改日志配置。这可能在请求的包体中或参数中明显体现。

通过监控和分析面向ActiveMQ Web控制台（默认8161端口）的网络流量，特别是针对/api/jolokia接口的请求，可以帮助识别此类攻击。管理员应特别注意异常的认证尝试、不寻常的JMX请求序列，以及任何看似试图操纵服务器行为的请求模式。