vulhub漏洞复现之Apache ActiveMQ Jolokia后台远程代码执行漏洞（CVE-2022-41678）

Apache ActiveMQ 是美国阿帕奇（Apache）软件基金会研发的一套开源的消息中间件，它支持Java消息服务、集群、Spring Framework等。
Apache ActiveMQ 在5.16.5、5.17.3版本及以前，后台Jolokia存在一处任意文件读取导致的远程代码执行漏洞。
参考链接：

https://activemq.apache.org/security-advisories.data/CVE-2022-41678-announcement.txt
https://l3yx.github.io/2023/11/29/Apache-ActiveMQ-Jolokia-远程代码执行漏洞-CVE-2022-41678-分析/

漏洞环境

执行如下命令启动一个Apache ActiveMQ 5.17.3服务器：

cd /vulhub/activemq/CVE-2022-41678
docker compose up -d

服务启动后，访问 http://your-ip:8161/ 输入账号密码admin和admin，即可成功登录后台。

漏洞复现

首先访问 http://your-ip:8161/api/jolokia/list 这个API查看当前服务器里所有的MBeans：

但是直接访问，会出现报错，该报错，通过查询发现​​这个 HTTP 响应表明 Jolokia（ActiveMQ 的管理接口）拒绝请求，原因是跨域请求被阻止​​
Origin null​​：表示请求来自无来源（如本地文件、无来源标头的请求）

因此我们需要在这里的connection:close前面添加上Origin: http://your-ip ，保证我们请求有来源标头，我们可以看到，响应包里出现了当前服务器里所有的MBeans

这其中有两个可以被用来执行任意代码。

方法1

第一个方法是使用org.apache.logging.log4j.core.jmx.LoggerContextAdminMBean，这是由Log4j2提供的一个MBean。
攻击者使用这个MBean中的setConfigText操作可以更改Log4j的配置，进而将日志文件写入任意目录中。
使用poc脚本来复现完整的过程：
python poc.py -u admin -p admin http://your-ip:8161

Webshell被写入在/admin/shell.jsp文件中，访问可以看到

这个方法受到ActiveMQ版本的限制，因为Log4j2是在5.17.0中才引入Apache ActiveMQ。

方法2

第二个可利用的Mbean是jdk.management.jfr.FlightRecorderMXBean。
FlightRecorder是在OpenJDK 11中引入的特性，被用于记录Java虚拟机的运行事件。利用这个功能，攻击者可以将事件日志写入任意文件。
使用poc脚本来复现完整的过程（使用--exploit参数指定使用的方法）：
python poc.py -u admin -p admin --exploit jfr http://localhost:8161

Webshell被写入在/admin/shelljfr.jsp文件中，依然可以看到

换其他命令尝试uname -a，依然成功

本人技术有限，只做漏洞的复现，参考链接：

https://github.com/vulhub/vulhub/blob/master/activemq/CVE-2022-41678/README.zh-cn.md