Krytyczna podatność w marshallerze protokołu Java OpenWire umożliwia zdalne wykonanie dowolnego kodu (RCE) bez uwierzytelnienia. Atakujący z dostępem sieciowym do brokera lub klienta ActiveMQ może uruchamiać dowolne polecenia powłoki systemowej.
▸ Pokaż oryginał (EN)
The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution. This vulnerability may allow a remote attacker with network access to either a Java-based OpenWire broker or client to run arbitrary shell commands by manipulating serialized class types in the OpenWire protocol to cause either the client or the broker (respectively) to instantiate any class on the classpath. Users are recommended to upgrade both brokers and clients to version 5.15.16, 5.16.7, 5.17.6, or 5.18.3 which fixes this issue.
Podatność wynika z niebezpiecznej deserializacji (CWE-502) w implementacji protokołu OpenWire. Atakujący manipuluje serializowanymi typami klas przesyłanymi w protokole OpenWire, zmuszając brokera lub klienta do zainicjowania dowolnej klasy dostępnej na classpath JVM. W efekcie możliwe jest wykonanie dowolnych poleceń powłoki — zarówno po stronie brokera (gdy atak pochodzi od klienta), jak i po stronie klienta (gdy atak pochodzi od brokera). Exploit nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.
Atakujący może przejąć pełną kontrolę nad systemem operacyjnym, na którym działa broker lub klient Apache ActiveMQ, wykonując dowolne polecenia powłoki z uprawnieniami procesu JVM. Możliwe skutki to m.in. instalacja złośliwego oprogramowania, kradzież danych, eskalacja uprawnień oraz lateral movement w sieci.
Należy niezwłocznie zaktualizować zarówno brokery, jak i klientów Apache ActiveMQ do wersji 5.15.16, 5.16.7, 5.17.6 lub 5.18.3. Jeśli natychmiastowa aktualizacja nie jest możliwa, należy ograniczyć dostęp sieciowy do portów OpenWire wyłącznie do zaufanych hostów za pomocą firewalla.
Apache ActiveMQ w wersjach przed 5.15.16, 5.16.7, 5.17.6 oraz 5.18.3, a także Apache ActiveMQ Legacy OpenWire Module. Podatność dotyczy zarówno brokerów, jak i klientów opartych na Javie.
Podatność znajduje się w rejestrze CISA KEV jako aktywnie exploitowana. Publiczny exploit jest dostępny (m.in. w serwisie Packet Storm Security — Apache-ActiveMQ-Unauthenticated-Remote-Code-Execution). Wynik CVSS 10.0 wskazuje na maksymalne ryzyko.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:HApache Activemq
APPApache< 5.15.165.16.0 – 5.16.7 (bez)5.17.0 – 5.17.6 (bez)5.18.0 – 5.18.3 (bez)Apache Activemq Legacy Openwire Module
APPApache< 5.15.165.16.0 – 5.16.7 (bez)5.17.0 – 5.17.6 (bez)5.18.0 – 5.18.3 (bez)Debian
OSDebian10.011.0Netapp E Series Santricity Unified Manager
APPNetappwszystkie wersjeNetapp E Series Santricity Web Services Proxy
APPNetappwszystkie wersjeNetapp Santricity Storage Plugin
APPNetappwszystkie wersje
CISA KEV — szczegółyi
- Dostawcai
- Apache ↗
- Produkti
- ActiveMQ
- Data dodania do KEVi
- 2 listopada 2023
- Termin remediation (USA)i
- 23 listopada 2023(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Apache ActiveMQ zawiera lukę związaną z deserializacją niezaufanych danych, która może pozwolić zdalnemu atakującemu mającemu dostęp do sieci do brokera na wykonanie poleceń powłoki poprzez manipulowanie serializowanymi typami klas w protokole OpenWire, aby spowodować, że broker zainicjuje dowolną klasę ze ścieżki klas.
▸ Pokaż oryginał (EN)
Apache ActiveMQ contains a deserialization of untrusted data vulnerability that may allow a remote attacker with network access to a broker to run shell commands by manipulating serialized class types in the OpenWire protocol to cause the broker to instantiate any class on the classpath.
Powiązane podatności
GNU Inetutils telnetd: ominięcie uwierzytelnienia przez zmienną USER
Sudo: eskalacja uprawnień do root poprzez opcję --chroot (CVE-2025-32463)
RCE przez deserializację PHP w Roundcube Webmail (parametr _from)
Erlang/OTP SSH — nieuwierzytelniony RCE (CVSS 10.0)
Apple WebKit: out-of-bounds write umożliwiający ucieczkę z sandbox przeglądarki