ไทย

← กลับไปที่รายการ

ใช้งาน ApacheMQ REEL ที่มีความเสี่ยงสูง: การเติมไฟฟ้าเต็ม 5 ขั้นของการจู่โจม

itadol5j

CEV-2026-34197 การวิเคราะห์ช่องว่าง

Apache optmQ พ่นเส้นทางที่มีความเสี่ยงสูง

Apache ATMQ ได้เปิดเผยเมื่อเร็ว ๆ นี้ช่องว่างการใช้รหัสโปรแกรมที่มีความเสี่ยงสูง2526-34197) พ.ศ. คนร้ายสามารถบังคับใช้รหัสใดๆ ผ่านสะพาน Jlogia JMX-HTTP บน JVM ของ Burger

ผลกระทบจากช่องโหว่นี้กว้างมาก และผู้ใช้ทั้งหมดใช้ ATMQ 5.x และ 6.x รุ่นต้องการความสนใจทันที

ข้อมูลพื้นฐานของข้อผิดพลาด

คุณสมบัติ รายละเอียด
หมายเลข CEV CEV-2026-34197
ระดับความรุนแรง ความเสี่ยงสูง (สั่งประมวลผลจากระยะไกล RCE)
CWE CWE- 20 (การตรวจสอบการป้อนข้อมูลแบบไม่ถูกต้อง), CWE- 94 (ฉีดรหัส)
ส่วนประกอบลูกเล่น ใช้งาน ApacheMQ โบรกเกอร์
การ โจมตี ที่ คาด ไม่ ถึง ต้องการผู้ใช้ที่รับรองแล้ว

• รุ่น ที่ ได้ รับ ผล กระทบ

  • Apache ATOMQ 5.x: ทุกรุ่น < 5.19.4
  • Apache ATOMQ 6.x.6.0 – 6.3.(ยกเว้น 6.2.3)

รุ่นของการชดเชย

  • ปรับรุ่นเป็น 5.19.4(5.x รุ่นการฟื้นตัว)
  • เพิ่มเติมเป็น 6.3(6.x รุ่นฟื้นฟู)

ห้าขั้นตอนที่จะโจมตี

ขั้น ที่ 1: ไป ที่ สะพาน โยโลเกีย

Apache August ATMQ คลาสสิกได้รับการเปิดเผยบนคอนโซลเว็บ สะพาน Jologia JMX-HTTPทางเดินคือ /api/jolokia/ฉันไม่รู้ สะพานนี้อนุญาตให้เข้าถึงส่วนติดต่อ JMX ได้ผ่านทาง HTTP

ขั้นที่ 2: เรียกปฏิบัติการ Mbean Exec

ข้อกําหนดการเข้าใช้งานของ Jologiaอนุญาตให้ใช้งาน MMQ Mbeans(org.apage. actomq:*) ทําการดําเนินการ exec. นี่ หมาย ความ ว่า ผู้ จู่ โจม สามารถ เรียก วิธี จัด การ แบบ ต่าง ๆ ได้.

ขั้น ที่ 3: การ สร้าง ความ เกลียด ชัง

คนร้ายโทรได้ BrokerService.addNetworkConnector(String) หรือ BrokerService.addConnector(String) วิธี ที่ ใช้ ใน การ สร้าง อย่าง ระมัดระวัง.ใช่แล้วกระตุ้นการย้ายภาพแบบ VM โบรกเกอร์Config พารามิเตอร์

ขั้นที่ 4: เรียกใช้ สปริงระยะไกล XML

พารามิเตอร์ของตัวแบ่งConfig กําหนดระยะไกลในการโหลด โปรแกรมจัดการแฟ้ม XML สําหรับฤดูใบไม้ผลิNameใช้ ResourceXmlApplicationContextฉันไม่รู้

ขั้น ที่ 5: การ ใช้ รหัส ใด ๆ

ประเด็นสําคัญคือResourcessXmlApplication Context ได้รับตัวอย่างก่อนการตั้งค่า BurgerServiewฉันไม่รู้ คนร้ายสามารถใช้วิธีการเช่น Runtime.exec() บน JVM ของโบรกเกอร์ประมวลผลโค้ดใด ๆฉันไม่รู้

ทําไมช่องโหว่นี้ถึงอันตราย

  1. คุณสามารถใช้มันได้หลังจากการตรวจสอบสิทธิ์- ด้วยหมายเลขล็อกอิน ATMQ
  2. ควบคุมทั้งหมด, โบรกเกอร์RCE ช่องว่าง หมายถึงผู้ก่อการได้ควบคุมโบรกเกอร์ JVM ของ OutlookMQ
  3. การจําลองATAMQ เป็นสื่อกลางสําหรับข่าวระดับธุรกิจ และหลายบริษัทกําลังใช้มัน
  4. ห่วงโซ่โจมตีไม่เสียหายสืบค้นเมื่อฤดูใบไม้ผลิ XML → RICE จาก Mbean, เชื่อมต่อเส้นทาง

ยังไง?

ปรับรุ่นเดี๋ยวนี้

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

ตัววัดความบิดเบือน

ถ้า ไม่ สามารถ ทํา เช่น นี้ ได้ ใน ขณะ นี้ ก็ อาจ พิจารณา ดู ได้

  • ปิดการใช้งาน โยโลเกียปิดการใช้งานสะพาน Jolokia JMX-HTP ในการปรับแต่งใช้งานMQ
  • จํากัดการเข้าใช้Jlogiaแก้ไขข้อกําหนดปริยาย
  • จัดตั้งระบบรักษาความปลอดภัยเพื่อให้แน่ใจว่า ใบรับรองการตรวจสอบสิทธิ์สําหรับผู้ใช้ MQ ไม่ได้ถูกเผย
  • การแยกเครือข่ายแผงวงจรเครือข่าย:

เช็คการโจมตี

  • Check accessingMQ. log (in อังกฤษ) ด้วยสัญญาณ add Connector/addNork Connect
  • Check สําหรับการร้องขอโหลดข้อมูลใน Spring XML จากเครือข่ายภายนอก
  • ติดตามดูการสร้างโพรเซสผิดพลาดสําหรับโบรกเกอร์ JVM (Runtime.exec)

สรุป

CEV-2026-34197 เป็น 1กรณี ของ การปรับแต่ง ที่ ไม่ ปลอด ภัย ซึ่ง นํา ไป สู่ RICE.

  • ใช้งานMQ โดยปริยายแล้ว จะเปิดการใช้งานสะพาน Jologia JMX-HTTP
  • นโยบายปริยายอนุญาตให้ปฏิบัติการแบบ exec สําหรับ Mbeans ทั้งหมด
  • ผู้โจมตีสามารถเรียกใช้ ring XML ระยะไกลได้ โดยใช้พารามิเตอร์ของโบรกเกอร์Config
  • ฤดูใบไม้ผลิจะหมดอายุเป็นถั่ว ก่อนที่จะปรับแต่งการตรวจสอบสิทธิ์ผลลัพธ์ใน RICE

ถ้า คุณ กําลัง ใช้ Apache AbuteMQ ให้ ตรวจ ดู ฉบับ แปล นี้ ทันที แล้ว ปรับ ให้ เป็น 5.19.4 หรือ 6.2.3!

ช่องโหว่ที่มีความเสี่ยงสูงได้รับการซ่อมแซมโดยไม่ล่าช้า

ข่าวการรักษาความปลอดภัยอย่างเป็นทางการ.https/CVE-2026-34197-environment.txt