CVE-2023-50780：Apache ActiveMQ Artemis 中可通过 Jolokia API 访问的危险 MBeans

通过枚举并检查 http://127.0.0.1:8161/console/jolokia 上由 Jolokia API 暴露的 MBeans，已识别出以下攻击向量：

• 使用 Log4J 进行任意文件写入，间接导致远程代码执行
• 使用 Log4J 进行任意文件读取
• 使用 Artemis Broker MBeans 进行拒绝服务（DoS）

知晓 Artemis Web 界面所用基本认证凭据的本地攻击者可以利用此漏洞。

注意： 如果服务器设置了 "--allow-anonymous"，则任何非空的用户名-密码组合都可以用于身份验证。

厂商披露：

此漏洞的厂商披露可在此处找到。

要求：

此漏洞需要：

• 具备 admin 角色的有效用户凭据（如果要求身份验证）

概念验证：

由于已识别出多种攻击向量，你可以在以下一个或多个 PDF 中找到更多详情及相应的利用过程：

• 发送给厂商的初始报告：Apache Artemis - CVE-2023-50780 - Initial Report.pdf。该 RCE 向量要求：
  • 能够以运行 Web 服务器的用户身份覆盖“broker.xml”文件
  • 重启整个 Artemis 应用程序以使“broker.xml”的更改生效（虽然我们可以利用“forceFailover()”函数关闭应用程序，但仍需要管理员进行用户交互才能将其重启）
• Apache Artemis - CVE-2023-50780 - WAR + Restart Vector.pdf。该 RCE 向量要求：
  • 能够以运行 Web 服务器的用户身份覆盖 Artemis 加载的某个 WAR 文件（例如“activemq-branding.war”、“artemis-plugin.war”或“console.war”）
  • 通过“restartEmbeddedWebServer()”函数重启内嵌的 Jetty Web 服务器（无需用户交互，因为攻击者可以通过 Artemis Broker MBean 直接调用此函数）
• Apache Artemis - CVE-2023-50780 - JAR + jvmtiAgentLoad.pdf。该 RCE 向量要求：
  • 能够在文件系统的某处写入文件（例如“/tmp”、“/dev/shm”、“C:\Windows\Public”等），并利用 Log4J 将任意 JAR 写入该位置
  • 加载相应的 JAR 并通过“jvmtiAgentLoad([Ljava.lang.String;)”函数获得 RCE

附加资源：

博客文章 由 Xu "pyn3rd "Yuanzhen 撰写，解释了如何利用 JAR 任意写入 + Jolokia 获得 RCE

时间线：

• 此漏洞最初于 2023 年 2 月 14 日报告给 [email protected]
• Apache 于 2024 年 10 月 14 日披露 CVE-2023-50780
• 于 2024 年 12 月 18 日公开披露初始报告及其他向量