CVE-2022-41678

总结

一旦用户在 Jolokia 上通过身份验证，他就有可能触发任意代码执行。具体来说，在 ActiveMQ 配置中，jetty 允许 org.jolokia.http.AgentServlet 处理对 /api/jolokia 的请求，org.jolokia.http.HttpRequestHandler#handlePostRequest 能够通过 JSONObject 创建 JmxRequest。并调用 org.jolokia.http.HttpRequestHandler#executeRequest。在更深的调用栈中，可以通过反射调用 org.jolokia.handler.ExecHandler#doHandleRequest。这可能导致通过多种 MBean 实现 RCE。其中一个示例是存在于 Java 11 以上版本中的 jdk.management.jfr.FlightRecorderMXBeanImpl 中的无限制反序列化。1 调用 newRecording。2 调用 setConfiguration。webshell 数据隐藏在其中。3 调用 startRecording。4 调用 copyTo 方法。webshell 将被写入一个 .jsp 文件。缓解措施是（默认情况下）限制 Jolokia 上允许的操作，或禁用 Jolokia。默认的 ActiveMQ 发行版中已定义了更严格的 Jolokia 配置。我们鼓励用户升级到包含更新后 Jolokia 配置的 ActiveMQ 发行版：5.16.6、5.17.4、5.18.0、6.0.0。

来源