【漏洞通告】Apache ActiveMQ Jolokia 代碼執(zhí)行漏洞(CVE-2022-41678)
發(fā)布時間:2023-11-30
閱讀次數(shù): 1101 次
漏洞描述
Apache ActiveMQ是一個開源的消息代理和集成模式服務(wù)應(yīng)用,用于實(shí)現(xiàn)消息中間件,幫助不同的應(yīng)用程序或系統(tǒng)之間進(jìn)行通信。
美創(chuàng)第59號實(shí)驗(yàn)室監(jiān)測到Apache官方發(fā)布了ActiveMQ Jolokia的風(fēng)險通告,漏洞編號:CVE-2022-41678,漏洞等級:高危。該漏洞存在于Jolokia服務(wù)的請求處理方式中,結(jié)合ActiveMQ的配置不當(dāng)和Java的高級功能,允許已認(rèn)證的用戶通過發(fā)送特定格式的HTTP請求來執(zhí)行危險操作。ActiveMQ的內(nèi)部配置允許org.jolokia.http.AgentServlet處理來自/api/jolokia的請求,而沒有足夠的安全檢查來防止惡意操作,成功利用此漏洞可導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
影響范圍
影響版本:
Apache ActiveMQ < 5.16.6
5.17.0< Apache ActiveMQ < 5.17.4
不受影響版本:
Apache ActiveMQ >= 5.17.4
Apache ActiveMQ >= 5.16.6
Apache ActiveMQ >= 6.0.0
Apache ActiveMQ >= 5.18.0
處置建議
目前,Apache ActiveMQ官方已發(fā)布漏洞修復(fù)版本,建議受影響的用戶建議更新至安全版本:
(1)5.16.x 系列更新至5.16.6(安全)以上
(2)5.17.x 系列更新至5.17.4(安全)以上
(3)5.18.x系列和6.0.x系列不受影響
下載鏈接:
https://activemq.apache.org/