远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS 主机上安装的程序包受到 USN-6685-1 公告中提及的漏洞的影响。

  - 在 Apache ActiveMQ 5.0.0 - 5.15.8 中，解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应。(CVE-2019-0222)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在 mqtt-client 中发现一个漏洞，即解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应

对于 Debian 9 Stretch，已在版本 1.14-1+deb9u1 中修复此问题。

我们建议您升级 mqtt-client 程序包。

如需了解 mqtt-client 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mqtt-client

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

远程主机缺少用于 Oracle Identity Manager Connector 的 2020 年 4 月关键补丁更新。因此，该应用程序受到多个漏洞的影响：

 - Oracle Fusion Middleware 的 Identity Manager Connector 产品中的漏洞（组件：通用 (Apache ActiveMQ)）。支持的版本中受影响的是 9.0。未经身份验证且可通过 HTTP 访问网络的攻击者可通过易于利用的漏洞破坏 Identity Manager Connector。成功攻击此漏洞可导致在未经授权的情况下造成 Identity Manager Connector 挂起或频繁出现崩溃（完全 DOS）。(CVE-2019-0222)

 - Oracle Fusion Middleware 的 Identity Manager Connector 产品中的漏洞（组件：LDAP 网关 (Spring Framework)）。支持的版本中受影响的是 9.0。未经身份验证且可通过 HTTP 访问网络的攻击者可通过易于利用的漏洞破坏 Identity Manager Connector。成功攻击此漏洞可导致在未经授权的情况下造成 Identity Manager Connector 挂起或频繁出现崩溃（完全 DOS）。(CVE-2018-15756)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机上运行的 Apache ActiveMQ 版本为低于 5.15.9 的 5.x。因此，该主机收到拒绝服务 (DoS) 漏洞的影响，这是 MQTT 框架验证不当所致。未经身份验证的远程攻击者可利用此问题造成代理停止响应。

远程主机上安装的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 组件中的多个漏洞影响：- Oracle Enterprise Manager Products Suite（子组件：Connector Framework (Apache CXF)）的 Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Enterprise Manager Base Platform。(CVE-2018-8039) - Oracle Enterprise Manager Products Suite（子组件：Valid Session (Apache ActiveMQ)）的 Oracle Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Oracle Enterprise Manager Base Platform。(CVE-2019-0222) - Oracle Enterprise Manager Products Suite（子组件：Discovery Framework (OpenSSL)）的 Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Enterprise Manager Base Platform。(CVE-2019-1559)

在围绕 Java Message Service 构建的消息代理 activemq 中发现多个安全问题。

CVE-2017-15709

在 activemq 中使用 OpenWire 协议时，发现某些系统详细信息（如操作系统和内核版本）显示为纯文本。

CVE-2018-11775

使用 Apache ActiveMQ 客户端时缺少 TLS 主机名验证，这可使客户端容易遭受使用 ActiveMQ 客户端的 Java 应用程序和 ActiveMQ 服务器之间的 MITM 攻击。默认情况下启用此项。

CVE-2019-0222

解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应

CVE-2021-26117

可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。

对于 Debian 9 stretch，已在版本 5.14.3-3+deb9u2 中修复这些问题。

建议您升级 activemq 程序包。

如需了解 activemq 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
191738	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：mqtt-client 漏洞 (USN-6685-1)	Nessus	Ubuntu Local Security Checks	2024/3/8	2024/8/27	high
147179	Debian DLA-2582-1：mqtt-client 安全更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
136284	Oracle Identity Manager Connector 多个漏洞（2020 年 4 月 CPU）	Nessus	Misc.	2020/5/1	2022/12/5	high
123756	Apache ActiveMQ 5.x < 5.15.9 Corrupt MQTT 帧拒绝服务 (DoS) (CVE-2019-0222)	Nessus	CGI abuses	2019/4/5	2024/6/6	high
126775	Oracle Enterprise Manager Cloud Control （2019 年 7 月 CPU）	Nessus	Misc.	2019/7/17	2022/12/6	high
147182	Debian DLA-2583-1：activemq 安全更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high

检测

插件搜索

high

high

high

high

high

high