MAL-011: سوء تكوين Log4J يسمح بتنفيذ JavaScript ضار في Red Hat AMQ

تم تكوين مكوّن Log4J في تطبيق Redhat A-MQ بشكل خاطئ بحيث يسمح بتنفيذ سمات “Script” التعسفية في إعدادات Log4J. إذا وجد المهاجم طريقة لتعديل إعدادات Log4J المستخدمة بواسطة A-MQ (على سبيل المثال عبر “setConfigText”)، فإن إدراج نصوص JavaScript الضارة سيؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).

ملاحظة: لاستغلال إصدارات Red Hat AMQ الأكبر من 7.10.2 والأصغر من 7.12، راجع CVE-2023-50780: وحدات MBeans خطيرة يمكن الوصول إليها عبر Jolokia API في Apache ActiveMQ Artemis.

إفصاح المورّد:

المورّد لم يكترث ¯\_(ツ)_/¯.

المتطلبات:

تتطلب هذه الثغرة:

• بيانات اعتماد صالحة لمستخدم بدور "admin" (إذا كانت المصادقة مطلوبة)

ملاحظة: إذا تم ضبط الخادم مع "--allow-anonymous"، فيمكن استخدام أي تركيبة اسم مستخدم/كلمة مرور غير فارغة للمصادقة.

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.

موارد إضافية:

كود لاستغلال Log4J عبر Jolokia (يُعرف أيضًا باسم log4jolokia)

CVE-2023-50780: وحدات MBeans خطيرة يمكن الوصول إليها عبر Jolokia API في Apache ActiveMQ Artemis