CVE-2022-41678: Apache ActiveMQ の Jolokia API を介してアクセス可能な危険な MBean

http://127.0.0.1:8161/api/jolokia の Jolokia API によって公開されている MBean を列挙・調査したところ、以下の攻撃ベクトルが特定されました:

• Log4J を利用した任意ファイル書き込み（リモートコード実行につながる）
• Log4J を利用した任意ファイル読み取り
• Log4J を利用した SSRF
• Java Flight Recorder を利用した任意ファイル上書き（threatbook.cn チームによって発見されたとおり、JFR を介した RCE も達成可能）

この脆弱性は、ActiveMQ Web インターフェースで使用される基本認証資格情報（デフォルトは「admin:admin」）を知っているローカル攻撃者によって悪用される可能性があります。

ベンダー開示:

この脆弱性に関するベンダーの開示はこちらで確認できます。

注記: この脆弱性は「逆シリアル化の脆弱性」ではありません。

要件:

この脆弱性の悪用には以下が必要です:

• 「admin」ロールを持つユーザーの有効な資格情報

概念実証:

詳細な情報と悪用手順は、このPDFで確認できます。

追加リソース:

JMX/Jolokia 経由で Log4J MBean を悪用する方法に関するYouTube プレゼンテーション（別名 Log4JMX）

Y4tacker によるブログ記事は、Log4J ベクトルを介して RCE を取得する方法を説明しています。