CVE-2022-41678: MBeans Peligrosos Accesibles a través de la API Jolokia en Apache ActiveMQ

Al enumerar e inspeccionar los MBeans expuestos por la API Jolokia en http://127.0.0.1:8161/api/jolokia se han identificado los siguientes vectores de ataque:

• Escritura Arbitraria de Archivos usando Log4J que resulta en Ejecución Remota de Código
• Lectura Arbitraria de Archivos usando Log4J
• SSRF usando Log4J
• Sobrescritura Arbitraria de Archivos usando Java Flight Recorder (también se puede lograr RCE a través de JFR según lo descubierto por el equipo de threatbook.cn)

Esta vulnerabilidad puede ser explotada por un atacante local que conozca las credenciales de autenticación básicas (por defecto “admin:admin”) utilizadas por la interfaz web de ActiveMQ.

Divulgación del Proveedor:

La divulgación del proveedor para esta vulnerabilidad se puede encontrar aquí.

NOTA: Esta vulnerabilidad no es una "vulnerabilidad de deserialización".

Requisitos:

Esta vulnerabilidad requiere:

• Credenciales válidas para un usuario con rol "admin"

Prueba de Concepto:

Más detalles y el proceso de explotación se pueden encontrar en este .