Apache ActiveMQ Jolokia 和 REST API 未授权访问漏洞 (CVE-2024-32114)

漏洞类型 资源默认不安全 发现时间 2024-05-02 漏洞等级 高危
MPS编号 MPS-hgen-baql CVE编号 CVE-2024-32114 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache ActiveMQ 是基于 Java Message Service (JMS) 的开源消息中间件。
受影响版本中,由于未对 Jolokia JMX REST API 和 Message REST API 添加身份校验,未授权的攻击者可利用暴露通过 Jolokia JMX REST API 与消息代理进行交互,或者使用 Message REST API 发送和接收消息,甚至清除或删除消息队列和主题。
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
activemq [6.0.0, 6.1.2) 升级 将组件 activemq 升级至 6.1.2 及以上版本
org.apache.activemq:apache-activemq [6.0.0, 6.1.2) 升级 将组件 org.apache.activemq:apache-activemq 升级至 6.1.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-hgen-baql

https://nvd.nist.gov/vuln/detail/CVE-2024-32114

https://issues.apache.org/jira/browse/AMQ-9477

https://github.com/apache/activemq/commit/09e3251c87f5493f9410eedbf20564e7c8d5adbe

https://lists.apache.org/thread/y0gwbjkps680b43y7z7nfy4q453d0kr9

(0)
上一篇 2024年4月29日
下一篇 2024年5月8日

相关推荐

  • MLflow<2.9.2 存在任意文件写入漏洞 (CVE-2023-6753)

    漏洞类型 路径遍历 发现时间 2023-12-14 漏洞等级 严重 MPS编号 MPS-hbve-if4y CVE编号 CVE-2023-6753 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 2.9.2之前版本中由于使用 posixpath.basename 过滤文件路径,未正确过滤 Windows 路…

    2023年12月18日
    0
  • JumpServer<3.10.0 开放重定向漏洞 (CVE-2024-24763)

    漏洞类型 跨站重定向 发现时间 2024-02-21 漏洞等级 中危 MPS编号 MPS-3dz5-xuk2 CVE编号 CVE-2024-24763 漏洞影响广度 广 漏洞危害 OSCS 描述 JumpServer 是开源的堡垒机和运维安全审计系统。 JumpServer 3.10.0之前版本中存在开放重定向漏洞,攻击者诱导用户点击恶意链接如:hxxps:…

    2024年2月21日
    0
  • Apache Superset 授权检查错误漏洞 (CVE-2023-49734)

    漏洞类型 授权检查错误 发现时间 2023-12-19 漏洞等级 高危 MPS编号 MPS-i3j1-274p CVE编号 CVE-2023-49734 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个数据可视化和数据探索平台。 由于update_charts_owners方法的逻辑错误,拥有 Gamma 权限的用户可以创建…

    2023年12月21日
    0
  • Elasticsearch simulate pipeline API 存在拒绝服务风险 (CVE-2023-46673)

    漏洞类型 对异常条件的处理不恰当 发现时间 2023-11-22 漏洞等级 中危 MPS编号 MPS-gtbf-0qxw CVE编号 CVE-2023-46673 漏洞影响广度 广 漏洞危害 OSCS 描述 Elasticsearch 是开源的搜索引擎,simulate pipeline API 用于模拟指定的管道(pipeline)对提供的文档进行处理。在…

    2023年11月23日
    0
  • Gofiber 存在CORS凭证泄露漏洞 (CVE-2024-25124)

    漏洞类型 过度许可的跨域白名单 发现时间 2024-02-22 漏洞等级 严重 MPS编号 MPS-qoe4-atu2 CVE编号 CVE-2024-25124 漏洞影响广度 广 漏洞危害 OSCS 描述 Gofiber 是一个基于Go语言的轻量级web框架。 受影响版本中,Web应用中的CORS中间件允许不安全的配置(例如:同时设置Access-Contr…

    2024年2月22日
    0