CVE-2022-41678

عاليتم النشر

Apache ActiveMQ: القيود غير الكافية على API في Jolokia تسمح للمستخدمين الموثّقين بتنفيذ RCE

تم النشر: 28‏/11‏/2023
محدث: 03‏/11‏/2025
تخصيص CNA: apache
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

8.8/ 10عالي

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

85.8‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.7‎%‎
تاريخ الموديل: 15‏/10‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

بمجرد مصادقة مستخدم على Jolokia، يمكنه نظريًا تشغيل تنفيذ تعليمات برمجية عشوائية. بالتفصيل، في تكوينات ActiveMQ، يسمح jetty لـ org.jolokia.http.AgentServlet بمعالجة الطلبات الموجهة إلى /api/jolokia. ويمكن لـ org.jolokia.http.HttpRequestHandler#handlePostRequest إنشاء JmxRequest عبر JSONObject، مع استدعاءات إلى org.jolokia.http.HttpRequestHandler#executeRequest. وفي أعماق سلاسل الاستدعاء، يمكن استدعاء org.jolokia.handler.ExecHandler#doHandleRequest عبر الانعكاس (reflection). وقد يؤدي هذا إلى تنفيذ تعليمات برمجية عن بُعد (RCE) عبر MBeans مختلفة. أحد الأمثلة هو إزالة التسلسل غير المقيدة في jdk.management.jfr.FlightRecorderMXBeanImpl الموجودة في إصدارات Java الأعلى من 11. 1. استدعِ newRecording. 2. استدعِ setConfiguration، وتختبئ بيانات ويب شيل داخله. 3. استدعِ startRecording. 4. استدعِ طريقة copyTo. ستُكتب الويب شيل إلى ملف بامتداد .jsp. يتمثل التخفيف في تقييد الإجراءات المصرح بها على Jolokia (افتراضيًا)، أو تعطيل Jolokia. تم تعريف تكوين Jolokia أكثر تقييدًا في توزيعة ActiveMQ الافتراضية. نشجع المستخدمين على الترقية إلى إصدارات توزيعات ActiveMQ التي تتضمن تكوين Jolokia المحدَّث: 5.16.6 و5.17.4 و5.18.0 و6.0.0.

المصادر

أدلة المستودعات: الملفات: 2 · المستودعات: 2

1 قالب1 مختبر

Apache ActiveMQ Jolokia Authenticated Remote Code Executionمختبر
activemq/CVE-2022-41678
Apache ActiveMQ Jolokia Authenticated Remote Code Execution (CVE-2022-41678)
Vulhub vulnerability labs
البحثالأدلة المرصودة: 25‏/09‏/2026مراجعة: 8fd63916f7a8أداة ذات صلة
الشروط المعلنة
- lab image version: vulhub/activemq:5.17.3(activemq/CVE-2022-41678/docker-compose.yml:services.activemq.image)
Apache ActiveMQ < 5.16.5/5.17.3 - Remote Code Executionقالب
http/cves/2022/CVE-2022-41678.yaml
Nuclei Templates
الكشفالأدلة المرصودة: 26‏/09‏/2026مراجعة: 837b883e85c1أداة ذات صلة
الشروط المعلنة
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.