skrkcb2/cve-2023-46604تحليل تقني متعمق لـ CVE-2023-46604، ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE) في بروتوكول OpenWire الخاص بـ Apache ActiveMQ، بما في ذلك تحليل بنية الحزم وآلية الاستغلال.
يُعد ActiveMQ خادم رسائل مفتوح المصدر وأنماط تكامل (Messaging and Integration Patterns)، حيث يتضمن وسيطًا (Broker) مع عملاء يدعمون JMS، ويتيح الاتصال بين الأنظمة التي تستخدم لغات متعددة بالإضافة إلى جافا. كما يحافظ على الاتساق والاستمرارية بين الأنظمة من خلال ميزات العنقود (Clustering) وقاعدة البيانات ونظام الملفات.
OpenWire هو بروتوكول رسائل ثنائي يُستخدم في Apache ActiveMQ. صُمم لنقل البيانات بكفاءة بين الوسيط (ActiveMQ) والعميل.
تتمثل الثغرة CVE-2023-46604 في وجود ضعف في بروتوكول OpenWire (أثناء عملية Marshal) داخل ActiveMQ، حيث يمكن لمهاجم عن بُعد لديه حق الوصول الشبكي إلى وسيط أو عميل OpenWire مبني على Java، التلاعب بأنواع الفئات المسلسلة في بروتوكول OpenWire لتنفيذ أوامر شل عشوائية، مما يجعل العميل أو الوسيط (على التوالي) يقوم بإنشاء مثيل لأي فئة موجودة في مسار الفئات (classpath). وتُعد هذه إحدى تقنيات الهجوم البارزة التي تستخدمها مجموعة APT المسماة Andariel.
تتم عملية استغلال CVE-2023-46604 عبر التلاعب باستدعاءات XML أو حقن بيانات خبيثة أثناء تبادل البيانات عبر بروتوكول OpenWire، مما يؤدي إلى تنفيذ أوامر عن بُعد. يعالج بروتوكول OpenWire أساسًا عملية تسلسل البيانات (Serialization) ونقلها، وتكمن الثغرة في السماح بأنواع فئات خبيثة أثناء عملية التسلسل.
[شكل] POC
[شكل] XML
패킷 Header
+----------------------------------------------------------------------------------+
| Packet Length | Command | Command Id | Command response required | CorrelationId |
|---------------|---------|------------|---------------------------|---------------|
| 00000066 | 1f | 00000000 | 00 | 00000000 |
+----------------------------------------------------------------------------------+
패킷 Body
+--------------------------------------------------------------------------------------+
| not-null | not-null | classname-size | classname | not-null | message-size | message |
|----------|----------|----------------|-----------|----------|--------------|---------|
| 01 | 01 | 0043 | ..... | 01 | 0012 | ..... |
+--------------------------------------------------------------------------------------+
OpenWire 패킷 Body 형식
[=If not-null is 1===========]
+----------+ [ +-------+----------------+ ]
| not-null | [ | size | encoded-string | ]
+----------+ [ +-------+----------------+ ]
| byte | [ | short | size octects | ]
+----------+ [ +-------+----------------+ ]
[============================]
[شكل 1] فحص حزمة OpenWire عبر Wireshark
[شكل 2] معنى رأس الحزمة
패킷 Header 끊어서 파악
+----------------------------------------------------------------------------------+
| Packet Length | Command | Command Id | Command response required | CorrelationId |
|---------------|---------|------------|---------------------------|---------------|
| 00000066 | 1f | 00000000 | 00 | 00000000 |
+----------------------------------------------------------------------------------+
Packet Length : 00000066 / OpenWire 같은 프로토콜은 기본적으로 패킷을 길이를 명시.
Command : 1f / 는 ExecptionResponse(31)을 명시 하기 위한 설정 31은 16진수(hex)로 1f.
Command Id : 00000000 / 는 int 형태 4바이트 형태 임으로 16진수 표현시 00 00 00 00.
Command response required : 00 / 는 boolean 타입으로 True(01), False(00) 에서 False.
CorrelationId : Command Id와 같은 유형
يضيف [شكل 2] شرحًا لشكل كل عنصر من عناصر رأس الحزمة والقيم المحددة له، بهدف المساعدة على فهم رأس الحزمة أعلاه. وبعد أن تعرفنا على الرأس، سننظر الآن في كيفية مرور محتويات الجسم (Body) عبر الكود.
[شكل 3] معنى جسم الحزمة
패킷 Body 내용 끊어서 파악
+--------------------------------------------------------------------------------------+
| not-null | not-null | classname-size | classname | not-null | message-size | message |
|----------|----------|----------------|-----------|----------|--------------|---------|
| 01 | 01 | 0043 | ..... | 01 | 0012 | ..... |
+--------------------------------------------------------------------------------------+
not-null (01) | / [그림 3]의 첫번째 함수에서 not-null pass
not-null (01) | classname-size (0043) | classname / [그림 3]의 두번째 함수에서 not-null pass, 세번째 함수에서 사이즈 체크 위한
not-null (01) | message-size (0012) | message / [그림 3]의 두번째 함수에서 not-null pass, 세번째 함수에서 사이즈 체크 위한
يوضح [شكل 3] كيفية عمل القيم المُعيّنة في جسم الحزمة. وفي النهاية، يقوم [شكل 4] بتحميل الفئة وإنشاء مثيل لها عبر البيانات المسلسلة.
[شكل 4] تنفيذ RCE عبر createThrowable
[شكل 5] مثال على تشغيل الآلة الحاسبة عبر RCE
[شكل 5] Git Diff (5.17.2 -> 5.17.6)
[شكل 5] دالة validate Function
على خلاف التحليلات الأخرى، كان سبب تحليل حزم الهجوم لهذه الثغرة هو فهم ودراسة كيفية تنفيذ الهجوم فعليًا.
من خلال الفحص الدقيق لبنية الحزم وتدفقها، تمكّنّا من تحديد الطريقة المحددة التي يستخدمها المهاجم لاختراق النظام وآلية عملها بوضوح.