CVE-2023-46604 分析

这是一个整理 Apache ActiveMQ CVE-2023-46604 的原因、代码路径、补丁要点和复现结果的技术分析仓库。

本文档是对公开漏洞 CVE-2023-46604 的技术分析及防御视角的学习资料。
所有实验仅在经批准的封闭测试环境中进行，对未授权系统的应用或复现可能违法。
本文档的内容仅供漏洞理解、补丁验证、检测及响应能力提升之目的。

Overview

CVE-2023-46604 是 Apache ActiveMQ 在 OpenWire 反序列化处理过程中发生的远程代码执行漏洞。核心问题在于 BaseDataStreamMarshaller.createThrowable() 未充分验证外部传入的类名，便通过反射进行实例化。

攻击者可利用此漏洞，使其创建异常对象以外的其他类，在此过程中可能触发远程 XML 加载和命令执行。

Key Points

• 受影响产品: Apache ActiveMQ 5.15.x ~ 5.18.x
• 影响版本: 5.15.15 及以下, 5.16.6 及以下, 5.17.5 及以下, 5.18.2 及以下
• 补丁版本: 5.15.16 / 5.16.7 / 5.17.6 / 5.18.3
• 漏洞类型: 由不安全反序列化导致的 RCE
• 主要原因: 缺少对 Throwable 子类型的验证
• 利用流程: ExceptionResponse -> createThrowable() -> 任意类创建

Report

详细分析报告可在以下文档中查看。

• CVE-2023-46604 分析报告

Repository Structure

.
|- README.md
|- docs/
|  \- CVE-2023-46604_report.md
\- assets/
   \- images...

Highlights

• 漏洞触发代码路径分析
• createThrowable() 漏洞点说明
• 补丁版本的验证逻辑变化
• 基于测试环境的复现结果摘要
• 从应对和防御视角的运营建议

References

• Apache Security Advisory
• Apache Jira AMQ-9370
• Rapid7 AttackerKB Analysis
• 公开 POC 仓库
• 查看 CVE 信息