Multiple security issues were discovered in activemq, a message broker built around Java Message Service.

CVE-2017-15709

When using the OpenWire protocol in activemq, it was found that certain system details (such as the OS and kernel version) are exposed as plain text.

CVE-2018-11775

TLS hostname verification when using the Apache ActiveMQ Client was missing which could make the client vulnerable to a MITM attack between a Java application using the ActiveMQ client and the ActiveMQ server. This is now enabled by default.

CVE-2019-0222

Unmarshalling corrupt MQTT frame can lead to broker Out of Memory exception making it unresponsive

CVE-2021-26117

The optional ActiveMQ LDAP login module can be configured to use anonymous access to the LDAP server. The anonymous context is used to verify a valid users password in error, resulting in no check on the password.

For Debian 9 stretch, these problems have been fixed in version 5.14.3-3+deb9u2.

We recommend that you upgrade your activemq packages.

For the detailed security status of activemq please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/activemq

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of Apache ActiveMQ running on the remote host is 5.x prior to 5.15.14 or 5.16.x prior to 5.16.1. It is, therefore, affected by multiple vulnerabilities including the following: 

  - An authentication bypass vulnerability. The optional ActiveMQ LDAP login module can be configured   to use anonymous access to the LDAP server. In this case, for Apache ActiveMQ prior to versions 5.16.1 and   5.15.14, the anonymous context is used to verify a valid users password in error, resulting in no check on   the password. (CVE-2021-26117)

  - A cross-site scripting (XSS) vulnerability exists in Apache ActiveMQ due to improper validation of   user-supplied input before returning it to users. An unauthenticated, remote attacker can exploit this,   by convincing a user to click a specially crafted URL, to execute arbitrary script code in a user's browser   session. (CVE-2020-13947)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストで実行中のApache ActiveMQのバージョンは、5.15.14より前の5.x、または5.16.1より前の5.16.xです。そのため、以下を含む複数の脆弱性による影響を受けます： 

  - 認証バイパスの脆弱性。オプションのActiveMQ LDAPログインモジュールは、LDAPサーバーへの匿名アクセスを使用するように構成できます。この場合、バージョン 5.16.1 および 5.15.14 より前の Apache ActiveMQ では、匿名のコンテキストを使用して、有効なユーザーのパスワードを誤って検証するため、パスワードがチェックされません。(CVE-2021-26117)

  - ユーザー指定の入力をユーザーに返す前に不適切に検証しているため、Apache ActiveMQ にはクロスサイトスクリプティング (XSS) の脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、巧妙に作りこまれた URL をクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2020-13947）

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

Java Message Serviceを中心に構築されたメッセージブローカーであるactivemqで、複数のセキュリティの問題が発見されました。

CVE-2017-15709

activemqでOpenWireプロトコルを使用する際に、特定のシステムの詳細（OSやカーネルバージョンなど）がテキスト形式で公開されることがわかりました。

CVE-2018-11775

Apache ActiveMQ Client使用時に、TLSホスト名検証が欠落していました。これにより、ActiveMQクライアントを使用するJavaアプリケーションとActiveMQサーバーの間で、クライアントがMITM攻撃に脆弱になる可能性があります。これはデフォルトでは現在有効になっています。

CVE-2019-0222

破損したMQTTフレームのマーシャリングを解除すると、ブローカのメモリ不足例外が応答不能になる可能性があります。

CVE-2021-26117

オプションのActiveMQ LDAPログインモジュールは、LDAPサーバーへの匿名アクセスを使用するように構成できます。匿名のコンテキストは、誤って有効なユーザーパスワードの検証に使用されるため、パスワードがチェックされません。

Debian 9 'Stretch'では、これらの問題はバージョン5.14.3-3+deb9u2で修正されています。

お使いのactivemqパッケージをアップグレードすることを推奨します。

activemqの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/activemq

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3657 公告中提及的多個弱點影響。

  - Apache ActiveMQ 使用 LocateRegistry.createRegistry() 建立 JMX RMI 登錄，並將伺服器繫結至 jmxrmi 項目。它可以不經驗證即連線至登錄檔，並呼叫 rebind 方法以將 jmxrmi 重新系結至其他項目。如果攻擊者建立其他伺服器以代理原始伺服器並加以限制，則其實際上會變成攔截式攻擊，並能夠在使用者連線時攔截憑證。升級至 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 選用的 ActiveMQ LDAP 登入模組可設為以匿名方式存取 LDAP 伺服器。在此情況下，對於 2.16.0 之前版本的 Apache ActiveMQ Artemis 和 5.16.1 與 5.15.14 之前版本的 Apache ActiveMQ，系統會錯誤地使用匿名內容驗證有效使用者密碼，導致未檢查密碼。(CVE-2021-26117)

  - Java OpenWire 通訊協定封送處理器容易受到遠端執行程式碼影響。出現此弱點時，若遠端攻擊者可透過網路存取使用 Java 的 OpenWire 訊息代理程式或用戶端，便可能透過操控 OpenWire 通訊協定中的序列化類別類型來執行任意 shell 命令，造成用戶端或訊息代理程式 (分別) 具現化類別路徑的任何類別。建議使用者將訊息代理程式和用戶端升級至 5.15.16、5.16.7、5.17.6 或 5.18.3 版，即可修正此問題。
    (CVE-2023-46604)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 activemq (一個圍繞 Java Message Service 構建的訊息代理程式) 中發現多個安全性問題。

CVE-2017-15709

在 activemq 中使用 OpenWire 通訊協定時，發現某些系統詳細資料 (例如 OS 和核心版本) 會顯示為純文字。

CVE-2018-11775

使用 Apache ActiveMQ 用戶端時，缺少 TLS 主機名稱驗證，這可使用戶端容易受到使用 ActiveMQ 用戶端的 Java 應用程式和 ActiveMQ 伺服器之間的 MITM 攻擊。現在，此項預設為啟用。

CVE-2019-0222

取消封送損毀的 MQTT 框架可導致代理程式發生記憶體不足異常，使其無法回應

CVE-2021-26117

選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。使用匿名內容錯誤驗證有效的使用者密碼，進而導致未檢查密碼。

針對 Debian 9 Stretch，已在 5.14.3-3+deb9u2 版本中修正這些問題。

建議您升級 activemq 套件。

如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上執行的 Apache ActiveMQ 版本為 5.15.14 之前的 5.x 版或 5.16.1 之前的 5.16.x 版。因此，該主機會受到多個弱點影響，包括： 

  - 驗證繞過弱點。選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。在此情況下，對於 5.16.1 和 5.15.14之前版本的 Apache ActiveMQ，系統會使用匿名內容驗證錯誤的有效使用者密碼，進而導致未檢查密碼。(CVE-2021-26117)

  - Apache ActiveMQ 中存在一個跨網站指令碼 (XSS) 弱點，這是未正確驗證使用者提供的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。 (CVE-2020-13947)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的程序包受到 dla-3657 公告中提及的多个漏洞影响。

  - Apache ActiveMQ 会使用 LocateRegistry.createRegistry() 创建 JMX RMI 注册表，并将服务器绑定到 jmxrmi 条目。有可能在不进行认证的情况下连接到注册表，并调用 rebind 方法重新绑定 jmxrmi。如果攻击者创建其他服务器以代理原始服务器并进行绑定，则该攻击者实际上会成为中间人，并且能够在用户连接时拦截凭据。升级到 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 可选的 ActiveMQ LDAP 登录模块可以被配置为通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 2.16.0 版本的 Apache ActiveMQ Artemis 以及低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

  - Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
    (CVE-2023-46604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在围绕 Java Message Service 构建的消息代理 activemq 中发现多个安全问题。

CVE-2017-15709

在 activemq 中使用 OpenWire 协议时，发现某些系统详细信息（如操作系统和内核版本）显示为纯文本。

CVE-2018-11775

使用 Apache ActiveMQ 客户端时缺少 TLS 主机名验证，这可使客户端容易遭受使用 ActiveMQ 客户端的 Java 应用程序和 ActiveMQ 服务器之间的 MITM 攻击。默认情况下启用此项。

CVE-2019-0222

解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应

CVE-2021-26117

可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。

对于 Debian 9 stretch，已在版本 5.14.3-3+deb9u2 中修复这些问题。

建议您升级 activemq 程序包。

如需了解 activemq 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上运行的 Apache ActiveMQ 版本为 5.15.14 之前的 5.x 版或 5.16.1 之前的 5.16.x 版。因此，该应用程序受到多个漏洞的影响，其中包括： 

  - 身份验证绕过漏洞。可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

  - Apache ActiveMQ 中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。(CVE-2020-13947)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 10 ホストには、dla-3657 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache ActiveMQ は、LocateRegistry.createRegistry() を使用して JMX RMI レジストリを作成し、サーバーを「jmxrmi」エントリにバインドします。認証なしでレジストリに接続し、rebind メソッドを呼び出して、jmxrmi を他のものに再バインドすることが可能です。攻撃者が元のサーバーのプロキシとなる別のサーバーを作成して、それをバインドした場合、その攻撃者は事実上の中間者になり、ユーザーが接続するときに資格情報を傍受できるようになります。Apache ActiveMQ を 5.15.12 にアップグレードしてください。(CVE-2020-13920)

  - オプションの ActiveMQ LDAP ログインモジュールは、LDAP サーバーへの匿名アクセスを使用するように構成できます。この場合、バージョン 2.16.0 より前の Apache ActiveMQ Artemis、5.16.1 および 5.15.14 より前の Apache ActiveMQ では、匿名のコンテキストを使用して、有効なユーザーのパスワードを誤って検証するため、パスワードがチェックされません。(CVE-2021-26117)

  - Java OpenWire プロトコルマーシャラーは、リモートコード実行の脆弱性があります。この脆弱性により、Java ベースの OpenWire ブローカーまたはクライアントにネットワークアクセス権があるリモートの攻撃者が、OpenWire プロトコルのシリアル化されたクラスタイプを操作してクライアントまたはブローカーに (それぞれ) クラスパス上の任意のクラスをインスタンス化させることで、任意のシェルコマンドを実行する可能性があります。ユーザーには、ブローカーとクライアントの両方を、この問題を修正したバージョンであるバージョン 5.15.16、5.16.7、5.17.6、または 5.18.3 にアップグレードすることをお勧めします。
    (CVE-2023-46604)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3657 advisory.

  - Apache ActiveMQ uses LocateRegistry.createRegistry() to create the JMX RMI registry and binds the server     to the jmxrmi entry. It is possible to connect to the registry without authentication and call the     rebind method to rebind jmxrmi to something else. If an attacker creates another server to proxy the     original, and bound that, he effectively becomes a man in the middle and is able to intercept the     credentials when an user connects. Upgrade to Apache ActiveMQ 5.15.12. (CVE-2020-13920)

  - The optional ActiveMQ LDAP login module can be configured to use anonymous access to the LDAP server. In     this case, for Apache ActiveMQ Artemis prior to version 2.16.0 and Apache ActiveMQ prior to versions     5.16.1 and 5.15.14, the anonymous context is used to verify a valid users password in error, resulting in     no check on the password. (CVE-2021-26117)

  - The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution. This vulnerability may allow     a remote attacker with network access to either a Java-based OpenWire broker or client to run arbitrary     shell commands by manipulating serialized class types in the OpenWire protocol to cause either the client     or the broker (respectively) to instantiate any class on the classpath. Users are recommended to upgrade     both brokers and clients to version 5.15.16, 5.16.7, 5.17.6, or 5.18.3 which fixes this issue.
    (CVE-2023-46604)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
147182	Debian DLA-2583-1 : activemq security update	Nessus	Debian Local Security Checks	3/8/2021	1/12/2024	high
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 Multiple Vulnerabilities	Nessus	CGI abuses	2/3/2021	6/6/2024	high
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 複数の脆弱性	Nessus	CGI abuses	2/3/2021	6/6/2024	high
147182	DebianDLA-2583-1：activemqのセキュリティ更新	Nessus	Debian Local Security Checks	3/8/2021	1/12/2024	high
186019	Debian DLA-3657-1：activemq - LTS 安全性更新	Nessus	Debian Local Security Checks	11/20/2023	5/2/2024	critical
147182	Debian DLA-2583-1：activemq 安全性更新	Nessus	Debian Local Security Checks	3/8/2021	1/12/2024	high
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 多個弱點	Nessus	CGI abuses	2/3/2021	6/6/2024	high
186019	Debian DLA-3657-1：activemq - LTS 安全更新	Nessus	Debian Local Security Checks	11/20/2023	5/2/2024	critical
147182	Debian DLA-2583-1：activemq 安全更新	Nessus	Debian Local Security Checks	3/8/2021	1/12/2024	high
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 多个漏洞	Nessus	CGI abuses	2/3/2021	6/6/2024	high
186019	Debian DLA-3657-1: activemq - LTS セキュリティ更新	Nessus	Debian Local Security Checks	11/20/2023	5/2/2024	critical
186019	Debian DLA-3657-1 : activemq - LTS security update	Nessus	Debian Local Security Checks	11/20/2023	5/2/2024	critical

Detections

Analytics

Plugins Search

high

high

high

high

critical

high

high

critical

high

high

critical

critical