远程 Debian 10 主机上安装的程序包受到 dla-3657 公告中提及的多个漏洞影响。

  - Apache ActiveMQ 会使用 LocateRegistry.createRegistry() 创建 JMX RMI 注册表，并将服务器绑定到 jmxrmi 条目。有可能在不进行认证的情况下连接到注册表，并调用 rebind 方法重新绑定 jmxrmi。如果攻击者创建其他服务器以代理原始服务器并进行绑定，则该攻击者实际上会成为中间人，并且能够在用户连接时拦截凭据。升级到 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 可选的 ActiveMQ LDAP 登录模块可以被配置为通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 2.16.0 版本的 Apache ActiveMQ Artemis 以及低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

  - Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
    (CVE-2023-46604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Apache ActiveMQ 版本为 5.15.14 之前的 5.x 版或 5.16.1 之前的 5.16.x 版。因此，该应用程序受到多个漏洞的影响，其中包括： 

  - 身份验证绕过漏洞。可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

  - Apache ActiveMQ 中存在跨站脚本 (XSS) 漏洞，这是未正确验证用户提供的输入便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。(CVE-2020-13947)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在围绕 Java Message Service 构建的消息代理 activemq 中发现多个安全问题。

CVE-2017-15709

在 activemq 中使用 OpenWire 协议时，发现某些系统详细信息（如操作系统和内核版本）显示为纯文本。

CVE-2018-11775

使用 Apache ActiveMQ 客户端时缺少 TLS 主机名验证，这可使客户端容易遭受使用 ActiveMQ 客户端的 Java 应用程序和 ActiveMQ 服务器之间的 MITM 攻击。默认情况下启用此项。

CVE-2019-0222

解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应

CVE-2021-26117

可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。

对于 Debian 9 stretch，已在版本 5.14.3-3+deb9u2 中修复这些问题。

建议您升级 activemq 程序包。

如需了解 activemq 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS 主机上安装的多个程序包受到 USN-6910-1 公告中提及的多个漏洞影响。

    Chess Hazlett 发现 Apache ActiveMQ 未能正确处理某些命令。攻击者可能利用此问题造成程序终止，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 发现 Apache ActiveMQ 未能正确处理主机名验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 发现 Apache ActiveMQ 未正确处理某些函数中的身份验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 发现 Apache ActiveMQ 未正确处理 LDAP 身份验证。远程攻击者可能利用此问题获取未经身份验证的访问权限。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    发现 Apache ActiveMQ 未正确处理认证。远程攻击者可能利用此问题执行任意代码。(CVE-2022-41678)

    发现 Apache ActiveMQ 未正确处理反序列化。远程攻击者可能利用此问题执行任意 Shell 命令。(CVE-2023-46604)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
186019	Debian DLA-3657-1：activemq - LTS 安全更新	Nessus	Debian Local Security Checks	2023/11/20	2025/1/22	critical
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 多个漏洞	Nessus	CGI abuses	2021/2/3	2024/6/6	high
147182	Debian DLA-2583-1：activemq 安全更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 漏洞 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical

检测

插件搜索

critical

high

high

critical