CVE-2022-41678：Apache ActiveMQ Jolokia 远程代码执行漏洞通告

报告编号：CERT-R-2023-560

报告来源：360CERT

报告作者：360CERT

更新日期：2023-12-01

0x01 漏洞简述 2023年12月01日，360CERT监测发现Apache发布了ActiveMQ的风险通告，漏洞编号为CVE-2022-41678，漏洞等级：高危，漏洞评分：9.8。漏洞通告, 免费手机定位, 手机号码查找, 手机号码定位,

Apache ActiveMQ是最流行的开源消息中间件，为应用程序提供高效的、可扩展的、稳定的和安全的企业级消息通信。

对此，360CERT建议广大用户及时请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级 360CERT对该漏洞的评定结果如下

评定方式 等级 威胁等级 高危 影响面 广泛 攻击者价值 高 利用难度 低 360CERT评分 9.8 0x03 漏洞详情 CVE-2022-41678 远程代码执行漏洞 组件: Apache:ActiveMQ

漏洞类型: 文件写入

实际影响: 远程代码执行

主要影响: 设备完全控制

简述: 该漏洞存在于ActiveMQ配置中，经过身份验证的攻击者可利用该漏洞，通过Jolokia服务发送特制的HTTP请求写入恶意文件，进而实现远程代码执行。

0x04 影响版本 CVE-2022-41678 组件 影响版本 安全版本 Apache:ActiveMQ < 5.16.6 >= 5.16.6 Apache:ActiveMQ 5.17.0 - 5.17.4 >= 5.17.4，>= 6.0.0，>= 5.18.0 0x05 修复建议 通用修补建议 根据影响版本中的信息，排查并升级到安全版本，或直接访问参考链接获取官方更新指南。

0x06 产品侧解决方案 若想了解更多产品信息或有相关业务需求，可移步至http://360.net。

360城市级网络安全监测服务 360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn)，通过资产测绘技术的方式，对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

网络安全防护 漏洞通告 免费手机定位 手机号码查找 手机号码定位