CVE-2016-4432

Pominięcie uwierzytelnienia w Apache Qpid Java (AMQP)

CVSS 9.1v3.1pub. 2016-06-01upd. 2026-05-06

Podatność w obsłudze połączeń AMQP (wersje 0-8, 0-9, 0-91 oraz 0-10) w Apache Qpid Java przed wersją 6.0.3 umożliwia zdalnym atakującym ominięcie mechanizmu uwierzytelnienia. Jest to podatność krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika, a exploitation może prowadzić do nieautoryzowanego dostępu i wykonywania działań w brokerze.

▸ Pokaż oryginał (EN)

The AMQP 0-8, 0-9, 0-91, and 0-10 connection handling in Apache Qpid Java before 6.0.3 might allow remote attackers to bypass authentication and consequently perform actions via vectors related to connection state logging.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi stanu połączenia podczas jego rejestrowania (connection state logging) w protokołach AMQP 0-8, 0-9, 0-91 i 0-10. Atakujący może wykorzystać niepoprawne zarządzanie stanem połączenia, aby ominąć procedury uwierzytelnienia i uzyskać dostęp do brokera bez podania prawidłowych poświadczeń. Mechanizm podatności jest powiązany z logowaniem stanu połączenia, co sugeruje błąd w synchronizacji lub weryfikacji etapów nawiązywania sesji (CWE-287 — improper authentication).

Skutki

Atakujący może ominąć uwierzytelnienie i wykonywać nieautoryzowane działania w brokerze Apache Qpid, w tym potencjalnie uzyskać dostęp do poufnych danych przesyłanych przez broker oraz modyfikować jego działanie. Podatność prowadzi do naruszenia poufności i integralności systemu.

Mitygacja

Należy zaktualizować Apache Qpid Java do wersji 6.0.3 lub nowszej. Szczegóły dostępne są w oficjalnym zgłoszeniu QPID-7257 w systemie Apache JIRA oraz w referencjach producenta.

Kogo dotyczy

Apache Qpid Java (Apache Qpid Broker-J) w wersjach przed 6.0.3, obsługujących protokoły AMQP 0-8, 0-9, 0-91 oraz 0-10.

Uwagi

Dla tej podatności istnieje publicznie dostępne opracowanie techniczne opublikowane w serwisie Packet Storm Security (plik 137216), co zwiększa ryzyko exploitation w środowiskach, w których nie wdrożono patcha.