CVE-2022-41678: Apache ActiveMQ의 Jolokia API를 통해 접근 가능한 위험한 MBeans

http://127.0.0.1:8161/api/jolokia에서 Jolokia API를 통해 노출된 MBeans를 나열하고 검사함으로써 다음과 같은 공격 벡터가 식별되었습니다:

• 원격 코드 실행으로 이어지는 Log4J를 사용한 임의 파일 쓰기
• Log4J를 사용한 임의 파일 읽기
• Log4J를 사용한 SSRF
• Java Flight Recorder를 사용한 임의 파일 덮어쓰기 (threatbook.cn 팀이 발견한 바와 같이 JFR을 통해서도 RCE 달성 가능)

이 취약점은 ActiveMQ 웹 인터페이스에서 사용하는 기본 인증 자격 증명(기본값 "admin:admin")을 알고 있는 로컬 공격자에 의해 악용될 수 있습니다.

공급업체 공개:

이 취약점에 대한 공급업체의 공개는 여기에서 확인할 수 있습니다.

참고: 이 취약점은 "역직렬화 취약점"이 아닙니다.

요구 사항:

이 취약점이 요구하는 사항:

• "admin" 역할을 가진 사용자의 유효한 자격 증명

개념 증명:

자세한 내용과 악용 절차는 이 PDF에서 확인할 수 있습니다.

추가 리소스:

JMX/Jolokia를 통해 Log4J MBeans를 악용하는 방법에 대한 YouTube 프레젠테이션 (일명 Log4JMX)

Log4J 벡터를 통해 RCE를 얻는 방법을 설명하는 Y4tacker의 블로그 게시물

Log4J 및 JFR 벡터를 모두 악용하는 Owen "phith0n" Gong의 개념 증명 코드

Java Flight Recorder를 통해 RCE를 얻는 방법을 설명하는 淚笑 l3yx의 블로그 게시물

타임라인:

• 이 취약점은 2023년 1월 20일에 [email protected]에 처음 보고되었습니다.
• 2023년 8월 25일에 이 취약점에 CVE-2022-41678이 할당되었음을 확인하고 ActiveMQ 5.17.3 및 5.18.0 버전에 대한 재테스트를 요청했습니다.
• Apache는 2023년 11월 28일에 CVE-2022-41678을 공개했습니다.
• 2024년 1월 4일에 재테스트를 수행하고 최신 ActiveMQ가 더 이상 취약하지 않음을 확인했습니다.
• 2024년 11월 29일에 초기 보고서를 공개적으로 공개했습니다.