Project-Vuln-Detection-N-Mitigation_101

Apache ActiveMQ Deserialization RCE (CVE-2023-46604) – مشروع المرحلة الثانية

أمن الهياكل وإدارة النظم

المؤلف: [فيشنافو سي في] · التاريخ: 17 سبتمبر 2025

الحالة: ⌀ اكتملت تسليمات المرحلة الثانية

نظرة عامة

يوثق هذا المستودع مشروع تصميم أمني عملي يركز على CVE‑2023‑46604 في Apache ActiveMQ (Classic). يتضمن شرحًا واضحًا للثغرة، وملاحظات فنية متعمقة، وتقييم الأثر، والأنظمة المتأثرة، وتصميمات الكشف والتخفيف، وتقرير تصميم موحد مناسب للتقديم الجامعي.

روابط سريعة

• →→ تقرير تصميم المرحلة الثانية (ملف واحد) → phase_2_design_report.md

• →→ جميع الأقسام (معيارية):

  • المقدمة → phase_2_intro.md
  • شرح الثغرة → phase_2_vulnerability_explanation.md
  • التفاصيل الفنية → phase_2_technical_detail.md
  • الأثر → phase_2_impact.md
  • الأنظمة المتأثرة → phase_2_affected_systems.md
  • تصميم الكشف → phase_2_detection_design.md
  • تصميم التخفيف → phase_2_mitigation_design.md
  • الخاتمة → phase_2_conclusion.md
  • المراجع → phase_2_references.md

هيكل المستودع

.
├── phase_2_design_report.md
├── phase_2_intro.md
├── phase_2_vulnerability_explanation.md
├── phase_2_technical_detail.md
├── phase_2_impact.md
├── phase_2_affected_systems.md
├── phase_2_detection_design.md
├── phase_2_mitigation_design.md
├── phase_2_conclusion.md
└── phase_2_references.md

flowchart LR
  A[مهاجم من الإنترنت] -->|OpenWire 61616<br/>حمولة تسلسلية ضارة| B[(وسيط ActiveMQ)]
  A -->|مسح واستطلاع| F[جدار الحماية وقوائم ACL]
  F --> B

  B -->|نسخ حركة المرور أو syslog| C[نظام كشف/منع الاختراق Suricata Snort]
  B -->|سجلات الاتصال| D[سجلات الشذوذ في Zeek]
  B -->|سجلات التطبيق| E[سجلات ActiveMQ]

  C -->|تنبيه| J[(نظام إدارة الأحداث والمعلومات الأمنية SIEM)]
  D -->|تنبيه| J
  E -->|تنبيه| J
  J -->|ربط وإجراء تلقائي| G[الحظر التلقائي Fail2ban]
  G -. حظر .- F

  H[حاوية معزولة بدون صلاحية الجذر AppArmor] --- B
  I[تقييد البروتوكول تعطيل OpenWire] --- B

  classDef detect fill:#eef7ff,stroke:#82b1ff,color:#0a3d62;
  classDef ctrl fill:#eefbee,stroke:#6bbf59,color:#0a3d62;
  classDef siem fill:#fff7e6,stroke:#f5a623,color:#6b3e00;

  class C,D,E detect;
  class F,G,H,I ctrl;
  class J siem;

كيفية استخدام هذا المستودع

1. اقرأ التقرير في ملف واحد: إذا كنت تراجعه للتقييم، ابدأ بـ phase_2_design_report.md.

2. تعمق حسب القسم: استخدم الملفات المعيارية المذكورة أعلاه لمراجعة أجزاء محددة (مثل الانتقال مباشرة إلى الكشف أو التخفيف).

3. إعادة إنشاء المختبر (اختياري):

   • استخدم شبكة اختبار مجزأة وجهاز افتراضي/حاوية معزولة لأي تجارب إثبات المفهوم.
   • احظر أو قيد بشدة TCP/61616 خارجيًا.
   • يُفضل استخدام إصدارات ActiveMQ المصححة للإنتاج؛ احتفظ بالإصدارات الضعيفة معزولة تمامًا للبحث فقط.

→→ ملاحظة السلامة: يجب تنفيذ أي خطوات استغلال فقط في مختبر قانوني وخاضع للرقابة، وليس أبدًا على أنظمة الإنتاج أو الأنظمة التي لا تملكها/تديرها.

توافق التقييم

• شرح الثغرة (4 درجات) → phase_2_vulnerability_explanation.md

• تصميم الكشف + التخفيف (6 درجات) → phase_2_detection_design.md و phase_2_mitigation_design.md

• المعايير (قابلية التطبيق، العملية، الأصالة، الجدوى، الوضوح) تمت معالجتها عبر:

  • مسارات كشف واضحة على مستوى الشبكة/التطبيق، وأمثلة لأعمال IDS/Zeek/SIEM.
  • تحكمات عملية بجدار الحماية، والبروتوكول، والحاوية، والحظر التلقائي للنشر الفعلي.
  • أفكار ربط أصلية ونماذج أدوات لاستجابة الحوادث.

البدء (قائمة تحقق آمنة للمختبر)

• الشبكة: شبكة محلية ظاهرية مخصصة (VLAN)/شبكة فرعية؛ تقيد حركة المرور بين الشرق والغرب.
• المضيف: جهاز افتراضي بنظام Linux مع بيئة تشغيل حاويات.
• التسجيل: قم بتوجيه سجلات ActiveMQ/المضيف/الشبكة إلى SIEM/ELK الخاص بك.
• التحكمات: قم بإعداد fail2ban وقواعد ACL وملفات تعريف الحاوية قبل الاختبار.

الترخيص

هذا المحتوى التعليمي مقدم للاستخدام الأكاديمي غير التجاري. التزم بسياسات مؤسستك والقوانين المحلية.