Apache ActiveMQ je zranitelný vůči RCE útokům. Zranitelnost může vzdálenému útočníkovi se síťovým přístupem ke zprostředkovateli umožnit spuštění libovolných příkazů shellu manipulací se serializovanými typy tříd v protokolu OpenWire a způsobit, že zprostředkovatel vytvoří instanci libovolné třídy na classpath.
Dotčené verze:
- Apache ActiveMQ 5.18.0 před 5.18.3
- Apache ActiveMQ 5.17.0 před 5.17.6
- Apache ActiveMQ 5.16.0 před 5.16.7
- Apache ActiveMQ před 5.15.16
- Apache ActiveMQ Legacy OpenWire Module 5.18.0 před 5.18.3
- Apache ActiveMQ Legacy OpenWire Module 5.17.0 před 5.17.6
- Apache ActiveMQ Legacy OpenWire Module 5.16.0 před 5.16.7
- Apache ActiveMQ Legacy OpenWire Module 5.8.0 před 5.15.16
Uživatelům se doporučuje upgradovat na verzi 5.15.16, 5.16.7, 5.17.6 nebo 5.18.3, která tento problém řeší.
Více informací naleznete ze zdrojů:
https://nvd.nist.gov/vuln/detail/CVE-2023-46604
https://www.openwall.com/lists/oss-security/2023/10/27/5