Tiếng Việt

← Quay lại danh sách

Name Độ nguy hiểm cao của ống thở: 5 bước hoàn thành chuỗi tấn công

itadol5j

Phân tích khoảng cách CVE-26-34197

Apache tích cực làm nổ lỗ hổng RCE cao rủi ro

Gần đây, người Apache đã tiết lộ một thông tin.Name(CVE-26-34197) Kẻ tấn công có thể áp đặt bất cứ mật mã nào thông qua cầu Jologia JMX-HTTP trên JVM of broker.

Tác động của lỗ hổng này là rộng, và tất cả người dùng sử dụng chức năng MQ 5.x và 6x cần được chú ý ngay lập tức.

Thông tin cơ bản về kẽ hở

Thuộc tính Chi tiết
ID CVE CVE-26-34197
Trình độ nghiêm trọng Nguy hiểm cao (hành hình mã từ xa RCE)
CWE CWE- 20 (trong hợp lệ hoá đầu vào chính xác), CWE-94 (dùng mã kim tiêm)
Thành phần ảnh hưởng Name Kẻ phá hoại
Chuẩn bị tấn công Cần thiết người dùng chứng nhận

• Phiên bản bị ảnh hưởng

  • Name: Mọi phiên bản < 5.19.4
  • Name:6.0.0 – 6.2.3(không tính 6.3)

Phiên bản phục hồi

  • Nâng cấp lên 5.19.4(5.x phiên bản phục hồi dãy)
  • Nâng cấp lên 6.2.3(6.x phiên bản phục hồi lại)

Lỗ: 5 bước để tấn công.

Bước 1: Thăm cầu Jolokia

Văn bản cổ điển Apache được phơi bày trên web. Cầu Jologia JMX-HTTPcon đường là /api/jolokia/Tôi không biết. Cây cầu này cho phép truy cập vào giao diện JMX thông qua HTTP.

Name

Chính sách truy cập Jologia mặc địnhCho phép mọi hạt đậu hoạt động(org.apache. partimq:*) thực hiện các thao tác thực thi. Điều này có nghĩa là những kẻ tấn công có thể yêu cầu một loạt các phương pháp quản lý MQ hoạt động.

Bước 3: Xây dựng ác ý

Những kẻ tấn công có thể gọi. BrokerService.addNetworkConnector(String) hay BrokerService.addConnector(String) Phương pháp này, được xây dựng cẩn thận.Đúng vậy.Comment Name tham số.

Bước 4: Nạp XML mùa xuân từ xa

Comment CommentDùng ResourceXmlApplicationContextTôi không biết.

Bước 5: Bất kỳ mã lệnh thực hiện

Điểm mấu chốt là:Bộ mã hoá XmlApacationContext đã được minh họa trước khi cấu hình máy phá vỡServiceTôi không biết. Kẻ tấn công có thể dùng một phương pháp như: Runtime.exec() Trên JVM của nhà môi giớiThực hiện bất kỳ mã lệnh nàoTôi không biết.

Tại sao lỗ hổng này lại nguy hiểm?

  1. Bạn có thể dùng nó sau khi xác thực.Với số đăng nhập tích cựcMQ, bạn có thể khởi động một cuộc tấn công.
  2. Hoàn toàn kiểm soát, môi giớiLỗ hổng của RCE có nghĩa là kẻ tấn công đã hoàn toàn kiểm soát JVM của giao dịch hoạt động MQ
  3. Cầu xin: năng suất là một phương tiện cho các tin tức kinh doanh, và nhiều công ty đang sử dụng nó.
  4. Dây xích vẫn còn nguyên.: gọi từ xa Spring XML vội vàng từ vội vàng, đường dẫn không có gì

Bằng cách nào?

Nâng cấp ngay

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Các biện pháp giảm thiểu gián đoạn

Nếu điều này không thể làm trong thời gian hiện tại, có thể xem xét:

  • Tắt Jolokia: Tắt cầu Jolokia JMX-HTTP trong cấu hình chạyMQ
  • Giới hạn chính sách truy cập Jologia: Sửa đổi chính sách mặc định, tắt thao tác thực thi
  • Tăng cường an ninh: Bảo đảm chứng nhận xác thực choMQ hoạt động chưa được tiết lộ
  • Cách ly mạng: giới hạn truy cập đến giao diện Mạng hoạt động

Kiểm tra tấn công.

  • Kiểm tra bản ghi nhà môi giới hoạt độngMQ với một cuộc gọi thêmConnations/addNetwork Connict
  • Kiểm tra yêu cầu tải XML mùa xuân từ mạng bên ngoài
  • Theo dõi việc tạo tiến trình bất thường cho nhà môi giới JVM ( run.exc)

Tóm tắt

CVE-26-34197 là một trong nhữngTrường hợp cấu hình không an toàn điển hình dẫn đến RCE:

  • Mặc định Jologia JMX-HTTP
  • Chính sách mặc định cho phép thực hiện các thao tác cho tất cả các hạt đậu
  • Kẻ tấn công có thể nạp XML từ xa bằng tham số môi giớiConfig
  • Name

Nếu bạn đang sử dụng hệ điều hành Apache, hãy kiểm tra phiên bản ngay lập tức và nâng cấp nó lên 5.19.4 hoặc 6.3!

Các lỗ hổng có rủi ro cao được sửa chữa ngay lập tức.

Thông báo an ninh chính thức:https://actmq.apache.org/Bold-a-advisors.data/CVE-26-34197-enxt.txt