MAL-011: Configuração incorreta do Log4J permite JavaScript malicioso no Red Hat AMQ

O componente Log4J da aplicação Redhat A-MQ está configurado incorretamente para permitir a execução de atributos “Script” arbitrários na configuração do Log4J. Se um atacante encontrar uma forma de modificar a configuração do Log4J usada pelo A-MQ (por exemplo, via “setConfigText”), a inserção de scripts JavaScript maliciosos resultará em execução remota de código (RCE).

Nota: Para explorar versões do Red Hat AMQ > 7.10.2 e < 7.12, consulte CVE-2023-50780: MBeans perigosos acessíveis via API Jolokia no Apache ActiveMQ Artemis.

Divulgação do fornecedor:

O fornecedor não se importou ¯\_(ツ)_/¯.

Requisitos:

Esta vulnerabilidade requer:

• Credenciais válidas para um usuário com a função "admin" (se a autenticação for necessária)

Nota: Se o servidor estiver configurado com "--allow-anonymous", qualquer combinação de usuário e senha não nula pode ser usada para autenticar.

Prova de Conceito:

Mais detalhes e o processo de exploração podem ser encontrados neste PDF.

Recursos Adicionais: