Improper Authentication in Apache ActiveMQ
Apache ActiveMQ uses LocateRegistry.createRegistry() to create the JMX RMI registry and binds the server to the "jmxrmi" entry. It is possible to connect to the registry without authentication and call the rebind method to rebind jmxrmi to something else. If an attacker creates another server to proxy the original, and bound that, he effectively becomes a man in the middle and is able to intercept the credentials when an user connects. Upgrade to Apache ActiveMQ 5.15.12.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.apache.activemq:activemq-parent | < 5.15.12 | 5.15.12 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2020-13920
- https://github.com/apache/activemq/commit/359ae4b
- https://github.com/apache/activemq/commit/48cd61d
- https://github.com/apache/activemq/commit/58382283330f7c7b110c7afd8ef4ca2648786532
- https://github.com/apache/activemq/commit/b7dca5e
- https://github.com/apache/activemq
- https://issues.apache.org/jira/browse/AMQ-7400
- https://lists.apache.org/thread.html/r946488fb942fd35c6a6e0359f52504a558ed438574a8f14d36d7dcd7%40%3Ccommits.activemq.apache.org%3E
- https://lists.apache.org/thread.html/r946488fb942fd35c6a6e0359f52504a558ed438574a8f14d36d7dcd7@%3Ccommits.activemq.apache.org%3E
- https://lists.apache.org/thread.html/rb2fd3bf2dce042e0ab3f3c94c4767c96bb2e7e6737624d63162df36d%40%3Ccommits.activemq.apache.org%3E
- https://lists.apache.org/thread.html/rb2fd3bf2dce042e0ab3f3c94c4767c96bb2e7e6737624d63162df36d@%3Ccommits.activemq.apache.org%3E
- https://lists.debian.org/debian-lts-announce/2020/10/msg00013.html
- https://lists.debian.org/debian-lts-announce/2023/11/msg00013.html
- https://www.oracle.com/security-alerts/cpuoct2020.html
- http://activemq.apache.org/security-advisories.data/CVE-2020-13920-announcement.txt
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-306- Platforma
- Java / Kotlin (Maven)
- Paczka
org.apache.activemq:activemq-parent- Ujawniono
- 09.02.2022
- Aktualizacja
- 11.10.2026 12:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-xgrx-xpv2-6vp4 - CC BY 4.0
Historia podatności: org.apache.activemq:activemq-parent
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 06.2021 05.2022
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 1
- Średnia 3
- Niska 2
Ujawnienia w latach
- 2021: 1
- 2022: 6
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Improper Authentication in Apache ActiveMQ ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.