CVE-2014-3600

XXE w Apache ActiveMQ 5.x — podatność przy przetwarzaniu wiadomości XML

CVSS 9.8v3.0pub. 2017-10-27upd. 2026-05-13

Apache ActiveMQ w wersjach 5.x przed 5.10.1 zawiera podatność typu XML External Entity (XXE), pozwalającą zdalnym konsumentom na atak poprzez selektory XPath podczas odbierania wiadomości XML. Podatność uzyskała ocenę krytyczną CVSS 9.8, co wskazuje na poważne ryzyko dla systemów wystawionych na dostęp sieciowy.

▸ Pokaż oryginał (EN)

XML external entity (XXE) vulnerability in Apache ActiveMQ 5.x before 5.10.1 allows remote consumers to have unspecified impact via vectors involving an XPath based selector when dequeuing XML messages.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznego przetwarzania zewnętrznych encji XML (CWE-611) przez mechanizm kolejkowania wiadomości w ActiveMQ. Atakujący będący konsumentem kolejki może dostarczyć specjalnie spreparowaną wiadomość XML zawierającą odwołania do zewnętrznych encji. Podatny komponent przetwarza selektor oparty na XPath podczas operacji dequeue (pobierania wiadomości z kolejki), co umożliwia eksploitację mechanizmu XXE.

Skutki

Skuteczny atak może prowadzić do nieautoryzowanego ujawnienia danych, naruszenia integralności systemu lub jego niedostępności — dokładny zakres wpływu nie został doprecyzowany w oryginalnym opisie, jednak krytyczny poziom CVSS wskazuje na możliwość pełnego naruszenia poufności, integralności i dostępności.

Mitygacja

Należy zaktualizować Apache ActiveMQ do wersji 5.10.1 lub nowszej. Szczegółowe informacje dostępne są w oficjalnym komunikacie bezpieczeństwa producenta pod adresem http://activemq.apache.org/security-advisories.data/CVE-2014-3600-announcement.txt