Анализ CVE-2023-46604

Репозиторий технического анализа, в котором собраны причины, пути кода, точки исправления и результаты воспроизведения CVE-2023-46604 для Apache ActiveMQ.

Этот документ является учебным материалом по техническому анализу и защите от публичной уязвимости CVE-2023-46604.
Все эксперименты проводились только в утверждённой закрытой тестовой среде; применение или воспроизведение на несанкционированных системах может быть незаконным.
Содержание данного документа предоставляется исключительно с целью понимания уязвимости, проверки исправлений, а также повышения навыков обнаружения и реагирования.

Обзор

CVE-2023-46604 — это уязвимость удалённого выполнения кода, возникающая в процессе десериализации OpenWire в Apache ActiveMQ. Ключевая проблема заключается в том, что BaseDataStreamMarshaller.createThrowable() инстанцирует через рефлексию имя класса, переданное из внешнего ввода, без достаточной проверки.

Злоумышленник может использовать это для создания другого класса вместо объекта исключения, что может привести к удалённой загрузке XML и выполнению команд.

Ключевые моменты

• Целевой продукт: Apache ActiveMQ 5.15.x ~ 5.18.x
• Затронутые версии: 5.15.15 и ниже, 5.16.6 и ниже, 5.17.5 и ниже, 5.18.2 и ниже
• Исправленные версии: 5.15.16 / 5.16.7 / 5.17.6 / 5.18.3
• Тип уязвимости: RCE из-за небезопасной десериализации
• Основная причина: отсутствие проверки подтипа