阿里云漏洞库

高危 Apache ActiveMQ jolokia 代码执行漏洞（CVE-2022-41678）

CVE编号

CVE-2022-41678

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-11-29

漏洞描述

Apache ActiveMQ是最流行的开源、多协议、基于 Java 的消息代理。它支持行业标准协议，用户可以从多种语言和平台的客户端使用AMQP协议集成多平台应用程序。Apache ActiveMQ管理控制界面存在jolokia 端点，若未修改账号密码，则攻击者可构造调用jolokia相关功能造成远程代码执行。官方已发布安全更新，建议升级至最新版本。

影响版本

Apache ActiveMQ < 5.16.6

Apache ActiveMQ 5.17.0 < 5.17.4

安全版本

Apache ActiveMQ 5.16.6

Apache ActiveMQ 5.17.4

Apache ActiveMQ 5.18.0

Apache ActiveMQ 6.0.0

解决建议

1、升级至最新版本。
2、设置Activemq管理控制界面仅对可信地址开放。
3、修改Activemq web控制台默认口令。

参考链接
http://www.openwall.com/lists/oss-security/2023/11/28/1
https://activemq.apache.org/security-advisories.data/CVE-2022-41678-announcement.txt
https://lists.apache.org/thread/7g17kwbtjl011mm4tr8bn1vnoq9wh4sl
https://security.netapp.com/advisory/ntap-20240216-0004/

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	apache	activemq	*		Up to (excluding) 5.16.6
	运行在以下环境
	应用	apache	activemq	*	From (including) 5.17.0	Up to (excluding) 5.17.4

攻击路径

远程
攻击复杂度

容易
权限要求

管控权限
影响范围

全局影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

传输被破坏
服务器危害

服务器失陷
全网数量

N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

高危 Apache ActiveMQ jolokia 代码执行漏洞（CVE-2022-41678）

漏洞描述

解决建议

参考链接

受影响软件情况