MAL-011: Red Hat AMQ における Log4J の設定ミスにより悪意のある JavaScript の実行が可能

Redhat A-MQ アプリケーションの Log4J コンポーネントは、Log4J 設定内の任意の “Script” 属性の実行を許可するように誤って設定されています。攻撃者が A-MQ で使用される Log4J 設定（例:“setConfigText” を介して）を変更する方法を見つけた場合、悪意のある JavaScript スクリプトを挿入することで、リモートコード実行（RCE）が発生します。

注: Red Hat AMQ のバージョン 7.10.2 より大きく 7.12 より小さいバージョンを悪用するには、CVE-2023-50780: Apache ActiveMQ Artemis の Jolokia API からアクセス可能な危険な MBean を参照してください。

ベンダー開示:

ベンダーは気にしませんでした ¯\_(ツ)_/¯.

要件:

この脆弱性を利用するには、以下が必要です:

• "admin" ロールを持つユーザーの有効な認証情報（認証が必要な場合）

注: サーバーが "--allow-anonymous" で設定されている場合、null 以外のユーザー名とパスワードの組み合わせならどれでも認証に使用できます。

概念実証:

詳細と悪用プロセスは、この PDF に記載されています。

追加リソース:

Jolokia 経由で Log4J を悪用するコード（別名 log4jolokia）

CVE-2023-50780: Apache ActiveMQ Artemis の Jolokia API からアクセス可能な危険な MBean