Debian DLA-3657-1：activemq - LTS 安全更新

critical Nessus 插件 ID 186019

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3657 公告中提及的多个漏洞影响。

- Apache ActiveMQ 会使用 LocateRegistry.createRegistry() 创建 JMX RMI 注册表，并将服务器绑定到 jmxrmi 条目。有可能在不进行认证的情况下连接到注册表，并调用 rebind 方法重新绑定 jmxrmi。如果攻击者创建其他服务器以代理原始服务器并进行绑定，则该攻击者实际上会成为中间人，并且能够在用户连接时拦截凭据。升级到 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

- 可选的 ActiveMQ LDAP 登录模块可以被配置为通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 2.16.0 版本的 Apache ActiveMQ Artemis 以及低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

- Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
(CVE-2023-46604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。