CVE-2022-41678: كائنات MBeans خطيرة يمكن الوصول إليها عبر واجهة برمجة تطبيقات Jolokia في Apache ActiveMQ

من خلال سرد وفحص كائنات MBeans المكشوفة بواسطة واجهة برمجة تطبيقات Jolokia على http://127.0.0.1:8161/api/jolokia، تم تحديد نواقل الهجوم التالية:

• كتابة ملفات عشوائية باستخدام Log4J مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد
• قراءة ملفات عشوائية باستخدام Log4J
• SSRF باستخدام Log4J
• الكتابة فوق ملفات عشوائية باستخدام Java Flight Recorder (يمكن تحقيق RCE أيضًا عبر JFR كما اكتشف فريق threatbook.cn)

يمكن استغلال هذه الثغرة من قبل مهاجم محلي يعرف بيانات الاعتماد الأساسية للمصادقة (الافتراضية هي "admin:admin") المستخدمة في واجهة الويب لـ ActiveMQ.

إفادة البائع:

يمكن العثور على إفادة البائع حول هذه الثغرة هنا.

ملاحظة: هذه الثغرة ليست "ثغرة إلغاء تسلسل".

المتطلبات:

تتطلب هذه الثغرة:

• بيانات اعتماد صالحة لمستخدم بدور "admin"

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.