CVE-2026-24457

Path traversal w Eclipse OpenMQ — odczyt plików i potencjalny RCE

CVSS 9.1v3.1pub. 2026-03-05upd. 2026-08-05

Podatność w mechanizmie parsowania konfiguracji Eclipse OpenMQ umożliwia zdalnemu atakującemu odczyt dowolnych plików z serwera brokera MQ bez uwierzytelnienia. W niektórych scenariuszach możliwe jest również osiągnięcie zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

An unsafe parsing of OpenMQ's configuration in OpenMQ versions <6.5.2 and <6.9.0, allows a remote attacker to read arbitrary files from a MQ Broker's server. A full exploitation could read unauthorized files of the OpenMQ’s host OS. In some scenarios RCE could be achieved. This is fixed in OpenMQ 6.5.2, 6.9.0, and in GlassFish 7.0.26, 7.1.1, and 8.0.2.

🤖 Analiza AI

Jak działa

Niebezpieczne parsowanie pliku konfiguracyjnego OpenMQ prowadzi do podatności typu path traversal (CWE-22). Atakujący może spreparować odpowiednie żądanie sieciowe, które zmusza broker do odczytu plików spoza zamierzonego katalogu roboczego. W efekcie możliwy jest dostęp do dowolnych plików systemu operacyjnego hosta, a w pewnych warunkach podatność może zostać eskalowana do pełnego wykonania kodu na zdalnym serwerze.

Skutki

Atakujący może bez uwierzytelnienia odczytać dowolne pliki z systemu operacyjnego hosta brokera OpenMQ, w tym potencjalnie wrażliwe dane konfiguracyjne, credentials lub klucze. W sprzyjających warunkach możliwe jest zdalne wykonanie kodu (RCE) na serwerze.

Mitygacja

Należy zaktualizować OpenMQ do wersji 6.5.2 lub 6.9.0 (lub nowszych). Użytkownicy GlassFish powinni zaktualizować do wersji 7.0.26, 7.1.1 lub 8.0.2. Szczegóły dostępne w referencjach producenta: https://gitlab.eclipse.org/security/cve-assignment/-/issues/84

Kogo dotyczy

Eclipse OpenMQ w wersjach poniżej 6.5.2 oraz poniżej 6.9.0; podatność dotyczy również środowisk GlassFish korzystających z podatnych wersji OpenMQ (przed GlassFish 7.0.26, 7.1.1 i 8.0.2)