CVE-2022-41678 in ActiveMQ
Sumário
de VulDB • 07/06/2026
Uma vez que um usuário está autenticado no Jolokia, ele pode potencialmente disparar a execução de código arbitrário.
Em detalhes, nas configurações do ActiveMQ, o Jetty permite que `org.jolokia.http.AgentServlet` processe requisições para `/api/jolokia`.
O método `org.jolokia.http.HttpRequestHandler#handlePostRequest` é capaz de criar um objeto JmxRequest através de JSONObject. E as chamadas a `org.jolokia.http.HttpRequestHandler#executeRequest`.
Em pilhas de chamada mais profundas, o `org.jolokia.handler.ExecHandler#doHandleRequest` é capaz de invocar métodos via reflexão (reflection).
E então, a execução remota de código (RCE) pode ser alcançada através do `jdk.management.jfr.FlightRecorderMXBeanImpl`, que existe em versões do Java superiores à 11.
1 Chamar newRecording. 2 Chamar setConfiguration. E um webshell está oculto nele. 3 Chamar startRecording. 4 Chamar o método copyTo. O webshell será escrito para um arquivo .jsp.
A mitigação consiste em restringir (por padrão) as ações autorizadas no Jolokia, ou desabilitar o Jolokia. Uma configuração mais restritiva do Jolokia foi definida na distribuição padrão do ActiveMQ. Encorajamos os usuários a atualizarem para versões da distribuição do ActiveMQ que incluam a configuração atualizada do Jolokia: 5.16.6, 5.17.4, 5.18.0, 6.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.