CVE-2023-46604 विश्लेषण

Apache ActiveMQ CVE-2023-46604 के कारण, कोड पथ, पैच बिंदु और पुनरुत्पादन परिणामों को संकलित करने वाला एक तकनीकी विश्लेषण भंडार है।

यह दस्तावेज़ सार्वजनिक भेद्यता CVE-2023-46604 के तकनीकी विश्लेषण और रक्षा दृष्टिकोण से सीखने की सामग्री है।
सभी प्रयोग केवल अनुमोदित बंद परीक्षण वातावरण में किए गए हैं; अनधिकृत सिस्टम पर आवेदन या पुनरुत्पादन अवैध हो सकता है।
इस दस्तावेज़ की सामग्री केवल भेद्यता समझ, पैच सत्यापन, पहचान और प्रतिक्रिया क्षमताओं को मजबूत करने के उद्देश्य से प्रदान की गई है।

Overview

CVE-2023-46604, Apache ActiveMQ के OpenWire डीसीरियलाइज़ेशन प्रसंस्करण के दौरान उत्पन्न होने वाला एक दूरस्थ कोड निष्पादन भेद्यता है। मुख्य समस्या यह है कि BaseDataStreamMarshaller.createThrowable() बिना पर्याप्त सत्यापन के बाहरी इनपुट से पास किए गए क्लास नाम को रिफ्लेक्शन के माध्यम से इंस्टेंशिएट करता है।

हमलावर इसका उपयोग करके एक अपवाद ऑब्जेक्ट के बजाय दूसरे क्लास को बनाने के लिए मजबूर कर सकता है, और इस प्रक्रिया में दूरस्थ XML लोडिंग और कमांड निष्पादन हो सकता है।

Key Points

• लक्ष्य उत्पाद: Apache ActiveMQ 5.15.x ~ 5.18.x
• प्रभावित संस्करण: 5.15.15 और उससे कम, 5.16.6 और उससे कम, 5.17.5 और उससे कम, 5.18.2 और उससे कम
• पैच संस्करण: 5.15.16 / 5.16.7 / 5.17.6 / 5.18.3
• भेद्यता प्रकार: असुरक्षित डीसीरियलाइज़ेशन के कारण RCE
• मुख्य कारण: Throwable उपप्रकार सत्यापन का अभाव