CVE-2022-41678: Apache ActiveMQ में Jolokia API के माध्यम से सुलभ खतरनाक MBeans

http://127.0.0.1:8161/api/jolokia पर Jolokia API द्वारा उजागर किए गए MBeans को सूचीबद्ध और निरीक्षण करके निम्नलिखित हमले वैक्टर की पहचान की गई है:

• Log4J का उपयोग करके मनमाना फ़ाइल लेखन जिसके परिणामस्वरूप रिमोट कोड निष्पादन (Remote Code Execution) होता है
• Log4J का उपयोग करके मनमाना फ़ाइल पठन (Arbitrary File Read)
• Log4J का उपयोग करके SSRF
• Java Flight Recorder का उपयोग करके मनमाना फ़ाइल अधिलेखन (Arbitrary File Overwrite) (RCE भी JFR के माध्यम से प्राप्त किया जा सकता है, जैसा कि threatbook.cn टीम ने खोजा है)

इस भेद्यता का शोषण एक स्थानीय हमलावर द्वारा किया जा सकता है जो ActiveMQ वेब इंटरफ़ेस द्वारा उपयोग किए जाने वाले बुनियादी प्रमाणीकरण क्रेडेंशियल्स (डिफ़ॉल्ट रूप से “admin:admin”) जानता है।

विक्रेता प्रकटीकरण:

इस भेद्यता के लिए विक्रेता का खुलासा यहाँ पाया जा सकता है।

नोट: यह भेद्यता "deserialization vulnerability" नहीं है।

आवश्यकताएँ:

इस भेद्यता के लिए आवश्यक है:

• उपयोगकर्ता के लिए मान्य क्रेडेंशियल्स जिनकी भूमिका "admin" हो

प्रूफ ऑफ कॉन्सेप्ट:

अधिक विवरण और शोषण प्रक्रिया इस PDF में पाई जा सकती है।