CVE-2016-3088

A aplicação web Fileserver embutida no Apache ActiveMQ 5.x (anterior à 5.14.0) aceita requisições HTTP PUT para gravar arquivos arbitrários e requisições HTTP MOVE para renomeá-los/movê-los dentro da árvore de webapps, permitindo que um atacante deposite um arquivo executável (ex.: JSP) em local onde o container o interpreta como código. É uma das CVEs mais exploradas de ActiveMQ até hoje — está no catálogo KEV da CISA, tem módulo Metasploit e PoC pública, e o EPSS próximo de 1.0 reflete exploração ativa e trivial. O ponto que a manchete '9.8 crítico' esconde: a exploração depende de o Fileserver estar habilitado e acessível na rede, e dependendo da configuração pode exigir autenticação — em muitas instalações endurecidas essa app nem está exposta.

A falha (CWE-20, validação de entrada inadequada) está na servlet do Fileserver, uma aplicação REST/WebDAV-like empacotada por padrão em versões antigas do ActiveMQ para permitir armazenamento de arquivos via HTTP. O endpoint não valida adequadamente o tipo de conteúdo nem a extensão do arquivo recebido em um PUT, e o método MOVE, também exposto, não restringe o destino do arquivo movido a um diretório seguro ou não-executável.

A cadeia de exploração combina duas requisições: um PUT que grava um arquivo com conteúdo controlado pelo atacante (por exemplo, um payload JSP) em um caminho gravável do Fileserver, seguido de um MOVE que reposiciona esse arquivo para dentro da estrutura de webapps onde o container Jetty/Tomcat o interpreta como página dinâmica. Segundo a ZDI (ZDI-16-356), em algumas variantes o código só é executado no próximo restart do serviço, não imediatamente — isso afeta o tempo entre comprometimento e execução, algo relevante para quem está investigando um incidente.

Pré-requisito real: o Fileserver precisa estar habilitado e acessível na porta/console web do ActiveMQ (tipicamente exposta junto ao console admin). A ZDI registra que 'a autenticação pode ou não ser necessária, dependendo de como o produto foi configurado' — ou seja, em instalações com autenticação padrão desabilitada ou credenciais padrão, o ataque é não-autenticado; em instalações com controle de acesso configurado no Jetty, o atacante precisa de credenciais válidas primeiro.

Há duas variantes documentadas por pesquisadores diferentes (ZDI-16-356, Simon Zuckerbraun, e ZDI-16-357, rgod), ambas mapeadas para a mesma CVE, o que indica que a técnica PUT+MOVE foi descoberta de forma independente e é direta de reproduzir — daí a presença de exploit público (Exploit-DB 42283), módulo Metasploit e template Nuclei. O resultado final é execução de código arbitrário no contexto do processo ActiveMQ.

O fornecedor corrige o problema na versão 5.14.0 e posteriores da linha 5.x do Apache ActiveMQ. A Red Hat também distribuiu correção via Red Hat JBoss A-MQ 6.3 (RHSA-2016:2036), que empacota ActiveMQ e resolve, entre outras, essa CVE.

Quando o upgrade imediato não é viável, a mitigação real e amplamente aplicada é desabilitar ou remover completamente a aplicação Fileserver do ActiveMQ — ela não é necessária para o funcionamento do broker de mensagens em si, servindo apenas como interface auxiliar de upload de arquivos. Restringir ou bloquear os métodos HTTP PUT e MOVE no ponto de entrada de rede (reverse proxy, firewall de aplicação) na frente do console web do ActiveMQ também reduz a superfície, mas não é uma mitigação confirmada pelo fornecedor — trata os sintomas, não a causa, e não protege se houver outro caminho de acesso à porta do console.

Não confie apenas em autenticação no console admin como mitigação suficiente: a ZDI registra que a necessidade de autenticação varia conforme a configuração, então ambientes com credenciais padrão ou controle de acesso mal configurado permanecem expostos mesmo com login ativado.

Em logs de acesso HTTP do console/webapp do ActiveMQ, procure sequências de requisição PUT seguidas por MOVE contra o path do Fileserver, especialmente com nomes de arquivo ou extensões incomuns (.jsp, .war) sendo criados e depois renomeados/movidos para dentro da árvore de webapps. A presença de arquivos JSP ou executáveis não reconhecidos no diretório do Fileserver ou em webapps do ActiveMQ é indício direto de exploração bem-sucedida, assim como reinicializações inesperadas do serviço seguidas de comportamento anômalo (linha com a observação da ZDI de que o código pode só executar no próximo restart). Não há um único indicador de rede confiável isolado — os métodos PUT/MOVE também têm uso legítimo em algumas integrações WebDAV, então a correlação com paths do Fileserver e conteúdo do arquivo gravado é necessária para reduzir falsos positivos.