CVE-2023-50780
高公開済み
Apache ActiveMQ Artemis: 認証済みユーザーがJolokia MBeansを介してRCEを実行できる可能性
- 公開済み
- 2024/10/14
- 更新済み
- 2025/03/19
- CNA の割り当て
- apache
- 観察された証拠
- 2026/08/08
プライマリ CVSS
8.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H17.5%
中 · 今後 30 日間
- パーセンタイル
- 97.1%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Apache ActiveMQ Artemis は、MBeans を通じて診断情報と制御へのアクセスを許可しており、これらは認証済みの Jolokia エンドポイント経由でも公開されています。バージョン 2.29.0 より前では、これには Log4J2 MBean も含まれていました。この MBean は、管理者以外のユーザーに公開することを意図したものではありません。これにより、最終的には認証済みの攻撃者がファイルシステムに任意のファイルを書き込み、間接的に RCE を達成できる可能性があります。ユーザーは、この問題を修正したバージョン 2.29.0 以降にアップグレードすることを推奨されます。
ソース
3CVE-2023-50780: Apache ActiveMQ Artemis における Jolokia API 経由でアクセス可能な危険な MBean
- Log4Jolokiaエクスプロイト
Jolokia 経由で Log4J を悪用するための Python3 実装
- MAL-011エクスプロイト
MAL-011: Log4Jの設定ミスにより、Red Hat AMQで悪意のあるJavaScriptが実行可能になる
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。