- ひとことでApache ActiveMQのファイル置き場の機能から、ファイルを置かれて実行される弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることActiveMQを5.14.0以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2016-3088 |
|---|---|
| 製品 | Apache ActiveMQ |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-02-10 |
| 米国政府機関の対応期限 | 2022-08-10 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20（入力の確認の不備） |
何が起きた
メッセージをやり取りするソフト Apache ActiveMQ の Fileserver という機能に、HTTP の PUT で送ったファイルを MOVE で動かすことで、攻撃者が任意のファイルを置いて実行できる弱点が見つかり、実際に悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。Apache によると、Web アプリのファイルを悪意のあるコードに置き換えられ、遠隔からコードを実行されるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache の勧告によると、Apache ActiveMQ 5.0.0 から 5.13.x までを使っている組織が影響を受けます。NVD の説明では、5.14.0 より前の 5.x とされています。
何をすればいい
Apache によると、Fileserver の機能は 5.14.0 から完全に取り除かれているため、5.14.0 以降に更新してください。古い版を使い続ける間は Fileserver を使わず、無効にしておく必要があります（5.12.0 からは初めから無効になっています）。無効にするには、conf フォルダの jetty.xml から Fileserver の設定行を外します（コメントアウトします）。詳しくは Apache の公式の案内を確認してください。
やることチェックリスト
- ActiveMQを5.14.0以降に更新する
- 古い版ではFileserverを無効にする
- jetty.xmlのFileserver設定を外す
用語メモ
- Fileserver
- ActiveMQ に付いていた、ファイルを受け取って置いておくための Web アプリの機能です。
- PUT
- HTTP という通信の決まりで、サーバーにファイルなどを送って置くための命令です。
- jetty.xml
- ActiveMQ が使う Web サーバー部分の設定を書いたファイルです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Apache ActiveMQ Improper Input Validation Vulnerability
概要
The Fileserver web application in Apache ActiveMQ allows remote attackers to upload and execute arbitrary files via an HTTP PUT followed by an HTTP MOVE request
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る