【更新】Apache ActiveMQ 远程代码执行漏洞CVE-2020-11998

  • A+
所属分类:安全漏洞


漏洞名称:Apache ActiveMQ 远程代码执行漏洞CVE-2020-11998

威胁等级:中危

影响范围:Apache ActiveMQ = 5.15.12

漏洞类型:远程代码执行漏洞

利用难度:中等


漏洞分析


1 Apache ActiveMQ 组件介绍

Apache ActiveMQ是Apache软件基金会所研发的开放源代码消息中间件;由于ActiveMQ是一个纯Java程序,因此只需要操作系统支持Java虚拟机,ActiveMQ便可执行。


2 漏洞描述

9月10日Apache软件基金会发布安全公告,修复了Apache ActiveMQ远程代码执行漏洞(CVE-2020-11998)。


在配置中,如果用户将一个不包含身份验证凭据的空的环境映射传递到RMIConnectorServer中时,会使得ActiveMQ容易受到代码注入攻击。


在没有安全管理配置的情况下,远程客户端可以创建一个javax.management.loading.MLet MBean,并使用它从任意URL创建新的MBean,当用户加载恶意的远程客户端Java应用程序时,会导致任意代码执行。


3 漏洞复现

搭建Apache ActiveMQ 5.15.12版本,发送精心构造的请求,可以执行任意系统命令,效果如下。

【更新】Apache ActiveMQ 远程代码执行漏洞CVE-2020-11998


影响范围


受影响版本:

Apache ActiveMQ  =  5.15.12


修复建议


目前厂商已在新版本修复该漏洞,请受影响的用户升级到Apache ActiveMQ  5.15.13或以上版本。

下载链接:

http://activemq.apache.org/


时间轴


2020/09/10  Apache ActiveMQ 官方发布修复补丁。

2020/09/23  深信服千里目安全实验室发布漏洞通告。

2020/09/25  深信服千里目安全实验室复现漏洞并发布二次通告。


参考链接


http://activemq.apache.org/security-advisories.data/CVE-2020-11998-announcement.txt

https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案

【更新】Apache ActiveMQ 远程代码执行漏洞CVE-2020-11998



发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: