1. 了解CVE-2023-46604漏洞的基本信息 CVE-2023-46604是一个存在于Apache ActiveMQ中的远程代码执行漏洞。该漏洞允许具有网络访问权限的远程攻击者通过发送恶意数据到ActiveMQ服务器的61616端口,执行任意代码,从而控制服务器。 受影响的版本包括: Apache ActiveMQ 5.18.0 < 5.18.3 Apache ActiveMQ 5.17.0 < 5.17....
https://xz.aliyun.com/t/12929 https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt http://www.openwall.com/lists/oss-security/2023/10/27/5 https://www.cve.org/CVERecord?id=CVE-2023-46604 https://www.cisa.gov/known-exploited-vulnerabilities-catalog ...
CVE-2023-46604 Apache ActiveMQ OpenWire 协议反序列化命令执行漏洞(CVE-2023-46604) Apache ActiveMQ是美国阿帕奇(Apache)软件基金会所研发的一套开源的消息中间件,它支持java消息服务、集群、Spring Framework等。 OpenWire协议在ActiveMQ中被用于多语言客户端与服务端通信。在Apache ActvieMQ5.18.2版本以及以前,OpenWi...
CVE-2023-46604 AMQ RCE漏洞应急响应实录 一、事件背景 Apache ActiveMQ是最流行的开源、多协议、基于Java的消息代理。它支持行业标准协议,用户可以从多种语言和平台的客户端使用AMQP协议集成多平台应用程序。 2023年10月26日,Apache ActiveMQ官方发布新版本5.15.16,修复了一个远程代码执行漏洞,攻击者可构造恶意请求...
CVE-2023-46604 修補前、後差異比較 根據AMQ-9370公告的說明,此漏洞的根本原因是 OpenWire 指令在轉換表達方式 (unmarshall) 時未檢查 Throwable 類別的類別型態 (class type) 所導致。 OpenWire 是一種二進位通訊協定,專為訊息導向中介軟體而設計。它是 ActiveMQ 原生的 Wire 格式,廣泛用於開放原始碼訊息與整合平台...
2023年10月26日,Apache ActiveMQ官方发布新版本5.15.16,修复了一个远程代码执行漏洞,攻击者可构造恶意请求通过Apache ActiveMQ的61616端口发送恶意数据导致远程代码执行,从而完全控制Apache ActiveMQ服务器。 2023年10月27日,由于公司有外包开发系统存在该漏洞,服务器被攻击者入侵,我们安全部开始了应急响应和推动加固工作...
CVE-2023-46604 activemq<5.18.3 RCE 分析 - KingBridge - 博客园 (cnblogs.com) 配置调试环境 在activemq官网下载一环境和源码。我的是在ubuntu上部署的环境 jdk11+ 然后在bin/linux-x86-64/wrapper.conf中添加远程调试信息 wrapper.java.additional.14=-agentlib:jdwp=transport=dt_socket,server=y,suspe...
CVE-2023-46604 activemq<5.18.3 RCE 分析Debuging Environment使用activemq的官方docker+远程debugdocker需要暴露端口61616,再留一个用于debug的端口FROM apache/activemq-classic:5.17.5 RUN apt-get update RUN apt-get install wget curl netcat -y EXPOSE 61616 EXPOSE 5005 CMD [ "tail","-f","/dev/null...
ActiveMQ RCE CVE-2023-46604分析 一、漏洞触发点 org.apache.activemq.openwire.v12包下BaseDataStreamMarshaller类的createThrowable方法。 packageorg.apache.activemq.openwire.v12; BaseDataStreamMarshaller类 privateThrowablecreateThrowable(StringclassName,Stringmessage){...