ActiveMQ Deserialization Vulnerability (CVE-2015-5254)

漏洞描述

Apache ActiveMQ是美国阿帕奇（Apache）软件基金会所研发的一套开源的消息中间件，它支持Java消息服务，集群，Spring Framework等。Apache ActiveMQ 5.13.0之前5.x版本中存在安全漏洞，该漏洞源于程序没有限制可在代理中序列化的类。远程攻击者可借助特制的序列化的Java消息服务（JMS）ObjectMessage对象利用该漏洞执行任意代码。

漏洞影响

Apache ActiveMQ 5.13.0之前5.x版本

环境配置

安装jdk

查看java版本，如果是java 11需要切换到java 8

java -version

安装java 8，默认安装路径/usr/lib/jvm/java-8-openjdk-amd64

sudo apt install openjdk-8-jdk

配置环境变量，添加jdk安装路径

sudo vim ~/.bashrc

# 在最后一行添加
export JAVA_HOME=/usr/lib/jvm/java-8-openjdk-amd64

切换jdk版本

采用update-alternatives命令进行版本切换

/usr/bin/java和/usr/lib/jvm/java-8-openjdk-amd64/bin/java两个路径一定要和自己的路径吻合

sudo update-alternatives --install /usr/bin/java java /usr/lib/jvm/java-8-openjdk-amd64/bin/java 1070

切换jdk

sudo update-alternatives --config java

image-20220221132209838

image-20220221132209838