Проект-Обнаружение-и-Смягчение-Уязвимостей_101

Apache ActiveMQ: RCE через десериализацию (CVE-2023-46604) — проект этапа 2

Архитектуры безопасности и администрирование систем

Автор: [Vaishnavu C V] · Дата: 17 сен 2025

Статус: ⌀ Результаты этапа 2 готовы

---

Обзор

Этот репозиторий описывает практический проект по проектированию безопасности, посвящённый CVE‑2023‑46604 в Apache ActiveMQ (Classic). Он включает понятное объяснение уязвимости, углублённые технические заметки, оценку воздействия, затронутые системы, проекты обнаружения и смягчения, а также консолидированный проектный отчёт, подходящий для сдачи в университете.

---

Быстрые ссылки

• →→ Проектный отчёт этапа 2 (единый файл) → phase_2_design_report.md

• →→ Все разделы (модульные):

  • Введение → phase_2_intro.md
  • Объяснение уязвимости → phase_2_vulnerability_explanation.md
  • Технические детали → phase_2_technical_detail.md
  • Влияние → phase_2_impact.md
  • Затронутые системы → phase_2_affected_systems.md
  • Проектирование обнаружения → phase_2_detection_design.md
  • Проектирование смягчения → phase_2_mitigation_design.md
  • Заключение → phase_2_conclusion.md
  • Ссылки → phase_2_references.md

---

Структура репозитория

.
├── phase_2_design_report.md
├── phase_2_intro.md
├── phase_2_vulnerability_explanation.md
├── phase_2_technical_detail.md
├── phase_2_impact.md
├── phase_2_affected_systems.md
├── phase_2_detection_design.md
├── phase_2_mitigation_design.md
├── phase_2_conclusion.md
└── phase_2_references.md

flowchart LR
  A[Internet attacker] -->|OpenWire 61616<br/>malicious serialized payload| B[(ActiveMQ Broker)]
  A -->|Scanning and recon| F[Firewall and ACLs]
  F --> B

  B -->|Traffic mirror or syslog| C[IDS or IPS Suricata Snort]
  B -->|Conn logs| D[Zeek anomaly logs]
  B -->|App logs| E[ActiveMQ logs]

  C -->|Alert| J[(SIEM)]
  D -->|Alert| J
  E -->|Alert| J
  J -->|Correlation and auto action| G[Fail2ban auto ban]
  G -. block .- F

  H[Container sandbox non root AppArmor] --- B
  I[Protocol restriction disable OpenWire] --- B

  classDef detect fill:#eef7ff,stroke:#82b1ff,color:#0a3d62;
  classDef ctrl fill:#eefbee,stroke:#6bbf59,color:#0a3d62;
  classDef siem fill:#fff7e6,stroke:#f5a623,color:#6b3e00;

  class C,D,E detect;
  class F,G,H,I ctrl;
  class J siem;

---

Как использовать этот репозиторий

1. Прочитайте единый отчёт: Если вы просматриваете его для оценки, начните с phase_2_design_report.md.

2. Подробное изучение по разделам: Используйте модульные файлы, перечисленные выше, для просмотра конкретных частей (например, сразу перейдите к разделам «Обнаружение» или «Смягчение»).

3. Воссоздайте лабораторию (необязательно):

   • Используйте сегментированную тестовую сеть и изолированную ВМ/контейнер для любых экспериментов с проверкой концепции.
   • Заблокируйте или строго ограничьте TCP/61616 извне.
   • Для продакшена предпочитайте пропатченные версии ActiveMQ; уязвимые версии держите в изолированной среде только для исследований.

→→ Примечание по безопасности: Любые шаги эксплуатации должны выполняться только в законной контролируемой лаборатории, никогда в продакшене или на системах, которыми вы не владеете/которые не эксплуатируете.

---

Соответствие критериям оценки

• Объяснение уязвимости (4 балла) → phase_2_vulnerability_explanation.md

• Проектирование обнаружения и смягчения (6 баллов) → phase_2_detection_design.md и phase_2_mitigation_design.md

• Критерии (применимость, практичность, оригинальность, осуществимость, ясность) рассматриваются через:

  • Чёткие пути обнаружения на уровне сети/приложения, примеры рабочих процессов IDS/Zeek/SIEM.
  • Практические межсетевые экраны, протокольные, контейнерные средства управления и автоматическую блокировку для реальных развёртываний.
  • Оригинальные идеи корреляции и макетные артефакты для реагирования на инциденты.

---

Начало работы (безопасный контрольный список для лаборатории)

• Сеть: Выделенная VLAN/подсеть; ограничьте трафик «восток‑запад».
• Хост: Linux VM со средой выполнения контейнеров.
• Логирование: Пересылайте логи ActiveMQ/хоста/сети в ваш SIEM/ELK.
• Средства контроля: Подготовьте fail2ban, правила ACL и профили контейнеров до тестирования.

---

Лицензия

Этот учебный материал предоставляется для академического некоммерческого использования. Следуйте политике вашего учебного заведения и местным законам.

---