Apache ActiveMQ Jolokia 和 REST API 未授权访问漏洞 (CVE-2024-32114)

漏洞类型 资源默认不安全 发现时间 2024-05-02 漏洞等级 高危
MPS编号 MPS-hgen-baql CVE编号 CVE-2024-32114 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache ActiveMQ 是基于 Java Message Service (JMS) 的开源消息中间件。
受影响版本中,由于未对 Jolokia JMX REST API 和 Message REST API 添加身份校验,未授权的攻击者可利用暴露通过 Jolokia JMX REST API 与消息代理进行交互,或者使用 Message REST API 发送和接收消息,甚至清除或删除消息队列和主题。
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
activemq [6.0.0, 6.1.2) 升级 将组件 activemq 升级至 6.1.2 及以上版本
org.apache.activemq:apache-activemq [6.0.0, 6.1.2) 升级 将组件 org.apache.activemq:apache-activemq 升级至 6.1.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-hgen-baql

https://nvd.nist.gov/vuln/detail/CVE-2024-32114

https://issues.apache.org/jira/browse/AMQ-9477

https://github.com/apache/activemq/commit/09e3251c87f5493f9410eedbf20564e7c8d5adbe

https://lists.apache.org/thread/y0gwbjkps680b43y7z7nfy4q453d0kr9

(0)
上一篇 2024年4月29日
下一篇 2024年5月8日

相关推荐

  • Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

    漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重 MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度 漏洞危害 OSCS 描述 Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实…

    漏洞 2024年5月16日
    0
  • 致远A8前台上传解压漏洞 (MPS-6tdh-8qpu)

    漏洞类型 路径遍历 发现时间 2023-08-22 漏洞等级 高危 MPS编号 MPS-6tdh-8qpu CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 致远A8是一款企业级的办公自动化软件,提供全方位的企业管理解决方案。致远A8协同管理系统在前台上传解压时存在漏洞,攻击者可利用此漏洞直接写入任意文件,进而获取目标系统的控制权限。上…

    2023年8月23日
    0
  • Apache Superset Jinja 模板查询验证不当漏洞 (CVE-2023-27523)

    漏洞类型 输入验证不恰当 发现时间 2023-09-06 漏洞等级 中危 MPS编号 MPS-2023-6815 CVE编号 CVE-2023-27523 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化工具,SQL Lab和Explore支持在查询中使用Jinja模板。 Apache Superset 2….

    2023年9月11日
    0
  • Spring Cloud Data Flow < 2.11.3 存在任意文件写入漏洞 (CVE-2024-22263)

    漏洞类型 任意文件上传 发现时间 2024-05-29 漏洞等级 严重 MPS编号 MPS-wj3y-50gb CVE编号 CVE-2024-22263 漏洞影响广度 漏洞危害 OSCS 描述 Spring Cloud Data Flow(SCDF)是一个基于微服务的工具包,用于在 Cloud Foundry 和 Kubernetes 中构建流式和批量数据处…

    漏洞 2024年5月30日
    0
  • Zabbix Server Audit Log SQL注入导致RCE (CVE-2024-22120)

    漏洞类型 SQL注入 发现时间 2024-05-20 漏洞等级 严重 MPS编号 MPS-ytof-ah8v CVE编号 CVE-2024-22120 漏洞影响广度 漏洞危害 OSCS 描述 Zabbix 是开源的网络监控工具,用于监控网络服务、服务器和网络设备的性能和可用性。 受影响版本中,由于 audit.c 中的 zbx_auditlog_global…

    漏洞 2024年5月21日
    0