CVE-2022-41678: Опасные MBeans, доступные через Jolokia API в Apache ActiveMQ

При перечислении и изучении MBeans, предоставляемых Jolokia API по адресу http://127.0.0.1:8161/api/jolokia, были выявлены следующие векторы атак:

• Произвольная запись файла с помощью Log4J, приводящая к удалённому выполнению кода
• Произвольное чтение файла с помощью Log4J
• SSRF с помощью Log4J
• Произвольная перезапись файла с помощью Java Flight Recorder (RCE также достижимо через JFR, как обнаружила команда threatbook.cn)

Эта уязвимость может быть эксплуатирована локальным злоумышленником, знающим учётные данные базовой аутентификации (по умолчанию «admin:admin»), используемые веб-интерфейсом ActiveMQ.

Раскрытие информации вендором:

Раскрытие информации об этой уязвимости вендором можно найти здесь.

ПРИМЕЧАНИЕ: Эта уязвимость не является «уязвимостью десериализации».

Требования:

Эта уязвимость требует:

• Действительные учётные данные для пользователя с ролью «admin»

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.