Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9montr\u00e9 une nouvelle technique qui exploite une faille de s\u00e9curit\u00e9 critique dans Apache ActiveMQ pour r\u00e9aliser l’ex\u00e9cution de code arbitraire en m\u00e9moire.<\/p>\n
Suivi comme CVE-2023-46604<\/strong><\/a> (score CVSS : 10,0), la vuln\u00e9rabilit\u00e9 est un bug d’ex\u00e9cution de code \u00e0 distance qui pourrait permettre \u00e0 un acteur malveillant d’ex\u00e9cuter des commandes shell arbitraires.<\/p>\n Il a \u00e9t\u00e9 corrig\u00e9 par Apache dans les versions ActiveMQ 5.15.16, 5.16.7, 5.17.6 ou 5.18.3 publi\u00e9es \u00e0 la fin du mois dernier.<\/p>\n La vuln\u00e9rabilit\u00e9 a depuis \u00e9t\u00e9 activement exploit\u00e9e par des groupes de ransomwares pour d\u00e9ployer des ransomwares tels que HelloKitty et une souche qui partage des similitudes avec TellYouThePass ainsi qu’un cheval de Troie d’acc\u00e8s \u00e0 distance appel\u00e9 SparkRAT.<\/p>\n Selon nouvelles d\u00e9couvertes<\/a> de VulnCheck, les acteurs de la menace qui utilisent la faille comme arme sont compter<\/a> sur une preuve de concept publique (PoC<\/a>) exploit initialement divulgu\u00e9 le 25 octobre 2023.<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que les attaques utilisaient ClassPathXmlApplicationContext<\/a>une classe qui fait partie du framework Spring et disponible dans ActiveMQ, pour charger un fichier malveillant Fichier de configuration du bean XML<\/a> via HTTP et r\u00e9aliser une ex\u00e9cution de code \u00e0 distance non authentifi\u00e9 sur le serveur.<\/p>\n VulnCheck, qui a qualifi\u00e9 la m\u00e9thode de bruyante, a d\u00e9clar\u00e9 avoir \u00e9t\u00e9 capable de concevoir un meilleur exploit reposant sur le FileSystemXmlApplicationContext<\/a> classe et int\u00e8gre un sp\u00e9cialement con\u00e7u Expression SpEL<\/a> \u00e0 la place du “m\u00e9thode d’initialisation<\/a>” pour obtenir les m\u00eames r\u00e9sultats et m\u00eame obtenir un shell invers\u00e9.<\/p>\n “Cela signifie que les auteurs de la menace auraient pu \u00e9viter de d\u00e9poser leurs outils sur le disque”, a d\u00e9clar\u00e9 VulnCheck. “Ils auraient pu simplement \u00e9crire leur chiffreur dans Nashorn (ou charger une classe\/JAR en m\u00e9moire) et rester r\u00e9sidents en m\u00e9moire.”<\/p>\n Cependant, il convient de noter que cela d\u00e9clenche un message d’exception dans le fichier activemq.log, obligeant les attaquants \u00e0 prendre \u00e9galement des mesures pour nettoyer la piste m\u00e9dico-l\u00e9gale.<\/p>\n “Maintenant que nous savons que les attaquants peuvent ex\u00e9cuter des attaques furtives en utilisant CVE-2023-46604, il est devenu encore plus important de patcher vos serveurs ActiveMQ et, id\u00e9alement, de les supprimer compl\u00e8tement d’Internet”, a d\u00e9clar\u00e9 Jacob Baines, directeur de la technologie chez VulnCheck.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Un-nouvel-exploit-PoC-pour-la-faille-Apache-ActiveMQ-pourrait.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n