После аутентификации пользователя в Jolokia он может вызвать произвольное выполнение кода. В частности, в конфигурациях ActiveMQ jetty позв…

После аутентификации пользователя в Jolokia он может вызвать произвольное выполнение кода. В частности, в конфигурациях ActiveMQ jetty позволяет org.jolokia.http.AgentServlet обрабатывать запросы к /api/jolokia. org.jolokia.http.HttpRequestHandler#handlePostRequest может создавать JmxRequest через JSONObject и вызывать org.jolokia.http.HttpRequestHandler#executeRequest. В более глубоких стеках вызовов org.jolokia.handler.ExecHandler#doHandleRequest можно вызвать через рефлексию. Это может привести к RCE через различные mbeans. Одним из примеров является неограниченная десериализация в jdk.management.jfr.FlightRecorderMXBeanImpl, которая существует в Java версии выше 11. 1 Вызов newRecording. 2 Вызов setConfiguration. И в нем скрыты данные веб-оболочки. 3 Вызов startRecording. 4 Вызов метода copyTo. Веб-оболочка будет записана в файл .jsp. Решением является ограничение (по умолчанию) действий, разрешенных в Jolokia, или отключение Jolokia. В дистрибутиве ActiveMQ по умолчанию определена более строгая конфигурация Jolokia. Мы рекомендуем пользователям обновить дистрибутивы ActiveMQ до версии, включающей обновленную конфигурацию Jolokia: 5.16.6, 5.17.4, 5.18.0, 6.0.0.