【更新】Apache ActiveMQ 远程代码执行漏洞CVE-2020-11998

Apache ActiveMQ是Apache软件基金会所研发的开放源代码消息中间件；由于ActiveMQ是一个纯Java程序，因此只需要操作系统支持Java虚拟机，ActiveMQ便可执行。

9月10日Apache软件基金会发布安全公告，修复了Apache ActiveMQ远程代码执行漏洞（CVE-2020-11998）。

在配置中，如果用户将一个不包含身份验证凭据的空的环境映射传递到RMIConnectorServer中时，会使得ActiveMQ容易受到代码注入攻击。

在没有安全管理配置的情况下，远程客户端可以创建一个javax.management.loading.MLet MBean，并使用它从任意URL创建新的MBean，当用户加载恶意的远程客户端Java应用程序时，会导致任意代码执行。

搭建Apache ActiveMQ 5.15.12版本，发送精心构造的请求，可以执行任意系统命令，效果如下。

受影响版本：

Apache ActiveMQ  =  5.15.12

目前厂商已在新版本修复该漏洞，请受影响的用户升级到Apache ActiveMQ  5.15.13或以上版本。

下载链接：

http://activemq.apache.org/

2020/09/10  Apache ActiveMQ 官方发布修复补丁。

2020/09/23  深信服千里目安全实验室发布漏洞通告。

2020/09/25  深信服千里目安全实验室复现漏洞并发布二次通告。

http://activemq.apache.org/security-advisories.data/CVE-2020-11998-announcement.txt

https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案