これは ZOZO Advent Calendar 2023 カレンダーVol.4の3日目の記事です。昨日の投稿は@ymd_aaaさんの「AndroidStudioからのGit操作でJava to Kotlinの差分を見やすくする」でした。
はじめに
この記事はApache ActiveMQの脆弱性（CVE-2023-46604）をHacktheBoxの「Broker」（以下リンク参照）で検証した際のメモになります。
CVE-2023-46604
Apache ActiveMQにRCEの脆弱性CVE-2023-46604が10月末に公開されていました。
影響を受けるバージョン
- 5.18.3 以前の Apache ActiveMQ 5.18.0
- 5.17.6 以前の Apache ActiveMQ 5.17.0
- 5.16.7 以前の Apache ActiveMQ 5.16.0
- 5.15.16 以前の Apache ActiveMQ
- Apache ActiveMQ レガシー OpenWire モジュール 5.18.0 5.18.3 以前
- Apache ActiveMQ レガシー OpenWire モジュール 5.17.0 5.17.6 以前
- Apache ActiveMQ レガシー OpenWire モジュール 5.16.0 5.16.7 以前
- Apache ActiveMQ レガシー OpenWire モジュール 5.8.0 5.15.16 以前
実際の被害
以下のようにHelloKittyランサムウェアファミリーから悪用された疑いがあります。
修正バージョン
- Apache ActiveMQ 5.18.3
- Apache ActiveMQ 5.17.6
- Apache ActiveMQ 5.16.7
- Apache ActiveMQ 5.15.16
POC
POCについても同時期にGithubにてCommitされていることがわかります。
このPOCを皮切りに色々とPOCが出ています。今回は以下の2つのPOCを利用します。
POC by evkl1d
POC by VulnCheck
HacktheBox - Broker
このBOXは上記のCVE-2023-46604を内包したものになります。
EasyのBoxであり、初心者の方でも取り組みやすい内容になっています。是非ともRootフラグまでゲットしてもらえればと思います。
※今回はCVE-2023-46604の検証のために使うので、Rootフラグまでの攻略は割愛します。
ポートスキャン
rustscanを用います。
┌──(root㉿kali-linux-2022-2)-[~]
└─# rustscan -a 10.10.11.243 --top --ulimit 5000
.----. .-. .-. .----..---. .----. .---. .--. .-. .-.
| {} }| { } |{ {__ {_ _}{ {__ / ___} / {} \ | `| |
| .-. \| {_} |.-._} } | | .-._} }\ }/ /\ \| |\ |
`-' `-'`-----'`----' `-' `----' `---' `-' `-'`-' `-'
The Modern Day Port Scanner.
________________________________________
: https://discord.gg/GFrQsGy :
: https://github.com/RustScan/RustScan :
--------------------------------------
Please contribute more quotes to our GitHub https://github.com/rustscan/rustscan
[~] The config file is expected to be at "/root/.rustscan.toml"
[~] Automatically increasing ulimit value to 5000.
Open 10.10.11.243:22
Open 10.10.11.243:80
Open 10.10.11.243:1337
Open 10.10.11.243:8161
Open 10.10.11.243:1883
Open 10.10.11.243:5672
Open 10.10.11.243:45043
Open 10.10.11.243:61613
Open 10.10.11.243:61614
Open 10.10.11.243:61616
[~] Starting Script(s)
[>] Script to be run Some("nmap -vvv -p {{port}} {{ip}}")
[~] Starting Nmap 7.94 ( https://nmap.org ) at 2023-11-13 02:01 EST
Initiating Ping Scan at 02:01
Scanning 10.10.11.243 [4 ports]
Completed Ping Scan at 02:01, 0.23s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 02:01
Completed Parallel DNS resolution of 1 host. at 02:01, 0.01s elapsed
DNS resolution of 1 IPs took 0.01s. Mode: Async [#: 1, OK: 0, NX: 1, DR: 0, SF: 0, TR: 1, CN: 0]
Initiating SYN Stealth Scan at 02:01
Scanning 10.10.11.243 [10 ports]
Discovered open port 1337/tcp on 10.10.11.243
Discovered open port 80/tcp on 10.10.11.243
Discovered open port 22/tcp on 10.10.11.243
Discovered open port 1883/tcp on 10.10.11.243
Discovered open port 5672/tcp on 10.10.11.243
Discovered open port 61616/tcp on 10.10.11.243
Discovered open port 61614/tcp on 10.10.11.243
Discovered open port 61613/tcp on 10.10.11.243
Discovered open port 45043/tcp on 10.10.11.243
Discovered open port 8161/tcp on 10.10.11.243
Completed SYN Stealth Scan at 02:01, 0.23s elapsed (10 total ports)
Nmap scan report for 10.10.11.243
Host is up, received echo-reply ttl 63 (0.21s latency).
Scanned at 2023-11-13 02:01:16 EST for 0s
PORT STATE SERVICE REASON
22/tcp open ssh syn-ack ttl 63
80/tcp open http syn-ack ttl 63
1337/tcp open waste syn-ack ttl 63
1883/tcp open mqtt syn-ack ttl 63
5672/tcp open amqp syn-ack ttl 63
8161/tcp open patrol-snmp syn-ack ttl 63
45043/tcp open unknown syn-ack ttl 63
61613/tcp open unknown syn-ack ttl 63
61614/tcp open unknown syn-ack ttl 63
61616/tcp open unknown syn-ack ttl 63
Read data files from: /usr/bin/../share/nmap
Nmap done: 1 IP address (1 host up) scanned in 0.60 seconds
Raw packets sent: 14 (592B) | Rcvd: 11 (468B)
色々とPortが空いてますが、大体こういうのはhttpから探っていくことが多いです。
Webの確認
80番Portを確認していきます。niktoコマンドでスキャンしてみます。
┌──(root㉿kali-linux-2022-2)-[~]
└─# nikto -h 10.10.11.243 -p 80
- Nikto v2.5.0
---------------------------------------------------------------------------
+ Target IP: 10.10.11.243
+ Target Hostname: 10.10.11.243
+ Target Port: 80
+ Start Time: 2023-11-16 13:26:49 (GMT9)
---------------------------------------------------------------------------
+ Server: nginx/1.18.0 (Ubuntu)
+ /: The anti-clickjacking X-Frame-Options header is not present. See: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
+ /: The X-Content-Type-Options header is not set. This could allow the user agent to render the content of the site in a different fashion to the MIME type. See: https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/missing-content-type-header/
+ / - Requires Authentication for realm 'ActiveMQRealm'
+ /: Default account found for 'ActiveMQRealm' at (ID 'admin', PW 'admin'). Generic account discovered.. See: CWE-16
+ Root page / redirects to: http://10.10.11.243/index.html
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ nginx/1.18.0 appears to be outdated (current is at least 1.20.1).
何があるかもうある程度見えてますが、実際に80番ポートへアクセスしてみます。
Basic認証を要求されますが、niktoにて見つけたadmin:adminでログインできました。
バージョンを探ると、5.15.15であることがわかります。脆弱ですね。
POC検証
上記で紹介した2つのPOCを試してみます。
その1
evkl1dさんのPOCを試します。
以下のようにGithubからクローンしてきます。
┌──(root㉿kali-linux-2022-2)-[~]
└─# git clone https://github.com/evkl1d/CVE-2023-46604
Cloning into 'CVE-2023-46604'...
remote: Enumerating objects: 22, done.
remote: Counting objects: 100% (22/22), done.
remote: Compressing objects: 100% (17/17), done.
remote: Total 22 (delta 5), reused 13 (delta 3), pack-reused 0
Receiving objects: 100% (22/22), 5.10 KiB | 5.10 MiB/s, done.
Resolving deltas: 100% (5/5), done.
このPOCをよく読むと、Pythonを実行してExploitするのですが、その際にClassPathXmlApplicationContextのクラスを利用しています。
このインスタンスの生成時、リモートにあるXMLファイルの設定ファイルを参照してOSのコマンドを実行するといったものです。
CVE-2020-14882のPOCでもあったJavaでよく見るやつですね。
このクラス名とメッセージ（XMLのURL）をActiveMQで使われているOpenWireのプロトコル（今回はPort 61616）に送信し、BaseDataStreamMarshallerクラス周りに叩き込めばRCEができるはずです。
詳細は以下の記事を参照してください。
実行
XMLを外部から参照できるようにhttpサーバを以下のように建てます。
┌──(root㉿kali-linux-2022-2)-[~]
└─# python3 -m http.server 80
次にXMLファイルを編集して以下のようにリバースシェルコマンドを叩き込むように変更します。
そして、PythonのPOCを実行します。
簡単ですね。3つ目の<value>を編集すればどんなコマンドでも叩き込めます。
その2
VulnCheckさんのPOCを利用します。
と言ってもXMLとPOCコードを変更するだけで済みます。
XML以下のように編集します（一部マスクしてます）。
記載しているBase64コードの内容ですが、基本的にJavaのコードとなります。エンコード前は以下のようになります。
次にPythonのExploitコードを以下のように編集します。
class_name = "org.springframework.context.support.FileSystemXmlApplicationContext"
実行
変更したExploitコードを実行します。
プロンプトは帰ってきていませんが、コマンドは実行できているのがわかります。
2つのPOCの違い
2つのPOCの違いは、XMLファイルの内容と使うクラスです。
ClassPathXmlApplicationContextではなくFileSystemXmlApplicationContext,SpELを利用します。
この違いは何かをpspyのToolを使って確認します。
その1のPOCでは以下のようにシェルジャンプを行うことで任意のコードが実行されます。
その2のPOCではメモリ上にJavaのコードが展開されて実行されるので、シェルジャンプを行う必要がありません。
要するにメモリ上であれこれするようにJavaコードを構築してしまえば色々できるということです。
BlueTeamからの検知回避に利用できます。
BlueTeamで確認すべき観点
- ActiveMQのバージョンが脆弱なのか
- OpenWireプロトコルを使用しており、外部からアクセス可能なのか
- ActiveMQから外部のXMLファイルを参照可能なのか（ActiveMQ発の通信ができるか）
まとめ
今回はCVE-2023-46604の検証をHacktheBoxの「Broker」で行いました。
脆弱性を検証できる環境は少ないのでこういうBOXはありがたいですね。
明日は@tippyさんです。