Apache ActiveMQ Jolokia 和 REST API 未授权访问漏洞 (CVE-2024-32114)

漏洞类型 资源默认不安全 发现时间 2024-05-02 漏洞等级 高危
MPS编号 MPS-hgen-baql CVE编号 CVE-2024-32114 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache ActiveMQ 是基于 Java Message Service (JMS) 的开源消息中间件。
受影响版本中,由于未对 Jolokia JMX REST API 和 Message REST API 添加身份校验,未授权的攻击者可利用暴露通过 Jolokia JMX REST API 与消息代理进行交互,或者使用 Message REST API 发送和接收消息,甚至清除或删除消息队列和主题。
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
activemq [6.0.0, 6.1.2) 升级 将组件 activemq 升级至 6.1.2 及以上版本
org.apache.activemq:apache-activemq [6.0.0, 6.1.2) 升级 将组件 org.apache.activemq:apache-activemq 升级至 6.1.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-hgen-baql

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-hgen-baql

https://nvd.nist.gov/vuln/detail/CVE-2024-32114

https://issues.apache.org/jira/browse/AMQ-9477

https://github.com/apache/activemq/commit/09e3251c87f5493f9410eedbf20564e7c8d5adbe

https://lists.apache.org/thread/y0gwbjkps680b43y7z7nfy4q453d0kr9

(0)
上一篇 2024年4月29日
下一篇 2024年5月8日

相关推荐

  • Microsoft Exchange Server 远程代码执行漏洞 (CVE-2023-36439)

    漏洞类型 代码注入 发现时间 2023-11-15 漏洞等级 高危 MPS编号 MPS-z7l2-u3tm CVE编号 CVE-2023-36439 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Exchange Server 是微软公司开发的一款邮件服务器。 Microsoft Exchange Server 受影响版本中,具有普通用户权…

    2023年11月16日
    0
  • Apache inlong JDBC URL反序列化漏洞(\t绕过) (CVE-2023-46227)

    漏洞类型 输入验证不恰当 发现时间 2023-10-19 漏洞等级 高危 MPS编号 MPS-xsb3-r8jf CVE编号 CVE-2023-46227 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache InLong 是开源的高性能数据集成框架,方便业务构建基于流式的数据分析、建模和应用。 受影响版本中,由于只对用户输入的 jdbc url 参数…

    2023年10月20日
    0
  • PowerJob 未授权访问漏洞 (CVE-2023-36106)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-08-18 漏洞等级 中危 MPS编号 MPS-st3c-aw5x CVE编号 CVE-2023-36106 漏洞影响广度 一般 漏洞危害 OSCS 描述 PowerJob 是一款开源的分布式任务调度框架。在 PowerJob 受影响版本中存在错误的访问控制漏洞。由于没有对/container/list接口做…

    2023年8月20日
    0
  • Apache UIMA Java SDK <3.5.0 反序列化漏洞 (CVE-2023-39913)

    漏洞类型 反序列化 发现时间 2023-11-08 漏洞等级 高危 MPS编号 MPS-8r5d-9m7h CVE编号 CVE-2023-39913 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache UIMA 是一个用于分析非结构化内容(比如文本、视频和音频)的组件架构和软件框架实现。 由于Apache UIMA Java SDK在反序列化Java对…

    2023年11月9日
    0
  • curl HSTS长文件名清除内容漏洞 (CVE-2023-46219)

    漏洞类型 敏感信息泄露 发现时间 2023-12-06 漏洞等级 低危 MPS编号 MPS-b3tl-rgea CVE编号 CVE-2023-46219 漏洞影响广度 小 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 由于curl的Curl_fopen函数保存HSTS 数据的文件名后面添加了一个后缀,创建了一个临时文件,…

    2023年12月7日
    0