The version of Apache ActiveMQ running on the remote host is 5.x prior to 5.15.6. It is, therefore, affected by a flaw related to TLS hostname verification and ActiveMQ Client that allows man-in-the-middle attacks.

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-6910-1 advisory.

    Chess Hazlett discovered that Apache ActiveMQ incorrectly handled certain commands. A remote attacker     could possibly use this issue to terminate the program, resulting in a denial of service. This issue only     affected Ubuntu 16.04 LTS. (CVE-2015-7559)

    Peter Stckli discovered that Apache ActiveMQ incorrectly handled hostname verification. A remote     attacker could possibly use this issue to perform a person-in-the-middle attack. This issue only affected     Ubuntu 16.04 LTS. (CVE-2018-11775)

    Jonathan Gallimore and Colm  higeartaigh discovered that Apache ActiveMQ incorrectly handled     authentication in certain functions. A remote attacker could possibly use this issue to perform a person-     in-the-middle attack. This issue only affected Ubuntu 16.04 LTS, Ubuntu 18.04 LTS and Ubuntu 20.04 LTS.
    (CVE-2020-13920)

    Gregor Tudan discovered that Apache ActiveMQ incorrectly handled LDAP authentication. A remote attacker     could possibly use this issue to acquire unauthenticated access. This issue only affected Ubuntu 16.04     LTS, Ubuntu 18.04 LTS and Ubuntu 20.04 LTS. (CVE-2021-26117)

    It was discovered that Apache ActiveMQ incorrectly handled authentication. A remote attacker could     possibly use this issue to run arbitrary code. (CVE-2022-41678)

    It was discovered that Apache ActiveMQ incorrectly handled deserialization. A remote attacker could     possibly use this issue to run arbitrary shell commands. (CVE-2023-46604)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストで実行中の Apache ActiveMQ のバージョンは、5.15.6 より前の 5.x です。したがって、TLS ホスト名検証に関連する欠陥や、中間者攻撃の可能性のある ActiveMQ Client の影響を受けます。

远程主机上运行的 Apache ActiveMQ 版本为低于 5.15.6 的 5.x。因而受到与 TLS 主机名验证有关的缺陷以及允许中间人攻击的 ActiveMQ 客户端影响。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的多個套件受到 USN-6910-1 公告中提及的多個弱點影響。

    Chess Hazlett 發現 Apache ActiveMQ 未正確處理某些命令。遠端攻擊者可能利用此問題造成程式終止，進而導致拒絕服務。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 發現 Apache ActiveMQ 未正確處理主機名稱驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 發現 Apache ActiveMQ 未正確處理某些函式中的驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 發現 Apache ActiveMQ 未正確處理 LDAP 驗證。遠端攻擊者可能會利用此問題獲得未經驗證的權限。此問題僅影響了 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    據發現，Apache ActiveMQ 未正確處理驗證。遠端攻擊者可能會利用此問題執行任意程式碼。(CVE-2022-41678)

    據發現，Apache ActiveMQ 未正確處理還原序列化。遠端攻擊者可能會利用此問題執行 shell 命令。(CVE-2023-46604)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Apache ActiveMQ 版本為比 5.15.6 舊的 5.x 版。因此，會受到與 TLS 主機名稱驗證和 ActiveMQ Client 有關的一個缺陷影響，該缺陷可允許攔截式攻擊。

Multiple security issues were discovered in activemq, a message broker built around Java Message Service.

CVE-2017-15709

When using the OpenWire protocol in activemq, it was found that certain system details (such as the OS and kernel version) are exposed as plain text.

CVE-2018-11775

TLS hostname verification when using the Apache ActiveMQ Client was missing which could make the client vulnerable to a MITM attack between a Java application using the ActiveMQ client and the ActiveMQ server. This is now enabled by default.

CVE-2019-0222

Unmarshalling corrupt MQTT frame can lead to broker Out of Memory exception making it unresponsive

CVE-2021-26117

The optional ActiveMQ LDAP login module can be configured to use anonymous access to the LDAP server. The anonymous context is used to verify a valid users password in error, resulting in no check on the password.

For Debian 9 stretch, these problems have been fixed in version 5.14.3-3+deb9u2.

We recommend that you upgrade your activemq packages.

For the detailed security status of activemq please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/activemq

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of Oracle Enterprise Manager Cloud Control installed on the remote host is affected by multiple vulnerabilities in Enterprise Manager Base Platform component:

  - An unspecified vulnerability in the Enterprise Manager Base Platform component of   Oracle Enterprise Manager Products Suite (subcomponent: Connector Framework (Apache CXF)),   which could allow an unauthenticated, remote attacker to compromise   Enterprise Manager Base Platform. (CVE-2018-8039)

  - An unspecified vulnerability in the Oracle Enterprise Manager Base Platform component   of Oracle Enterprise Manager Products Suite (subcomponent: Valid Session (Apache ActiveMQ)),   which could allow an unauthenticated, remote attacker to compromise   Oracle Enterprise Manager Base Platform. (CVE-2019-0222)

  - An unspecified vulnerability in the Enterprise Manager Base Platform component of   Oracle Enterprise Manager Products Suite (subcomponent: Discovery Framework (OpenSSL)), which   could allow and unauthenticated, remote attacker to compromise   Enterprise Manager Base Platform. (CVE-2019-1559)

Java Message Serviceを中心に構築されたメッセージブローカーであるactivemqで、複数のセキュリティの問題が発見されました。

CVE-2017-15709

activemqでOpenWireプロトコルを使用する際に、特定のシステムの詳細（OSやカーネルバージョンなど）がテキスト形式で公開されることがわかりました。

CVE-2018-11775

Apache ActiveMQ Client使用時に、TLSホスト名検証が欠落していました。これにより、ActiveMQクライアントを使用するJavaアプリケーションとActiveMQサーバーの間で、クライアントがMITM攻撃に脆弱になる可能性があります。これはデフォルトでは現在有効になっています。

CVE-2019-0222

破損したMQTTフレームのマーシャリングを解除すると、ブローカのメモリ不足例外が応答不能になる可能性があります。

CVE-2021-26117

オプションのActiveMQ LDAPログインモジュールは、LDAPサーバーへの匿名アクセスを使用するように構成できます。匿名のコンテキストは、誤って有効なユーザーパスワードの検証に使用されるため、パスワードがチェックされません。

Debian 9 'Stretch'では、これらの問題はバージョン5.14.3-3+deb9u2で修正されています。

お使いのactivemqパッケージをアップグレードすることを推奨します。

activemqの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/activemq

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにある複数の脆弱性による影響を受けます。Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Connector Framework（Apache CXF））があり、認証されていないリモートの攻撃者が、Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2018-8039）Oracle Enterprise Manager Products SuiteのOracle Enterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Valid Session（Apache ActiveMQ））があり、認証されていないリモートの攻撃者が、Oracle Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2019-0222）- Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Discovery Framework（OpenSSL））があり、認証されていないリモートの攻撃者が、Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2019-1559）

リモートの Ubuntu 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS ホストには、USN-6910-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Chess Hazlett 氏は、Apache ActiveMQ が特定のコマンドを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用してプログラムをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS のみです。(CVE-2015-7559)

    Peter Stckli 氏は、Apache ActiveMQ がホスト名の検証を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、中間者攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS のみです。(CVE-2018-11775)

    Jonathan Gallimore 氏と Colm higeartaigh 氏は、Apache ActiveMQ が特定の関数で認証を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、中間者攻撃を仕掛ける可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS および Ubuntu 20.04 LTS にのみ影響を与えます。
    (CVE-2020-13920)

    Gregor Tudan 氏は、Apache ActiveMQ が LDAP 認証を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、認証されていないアクセスを獲得する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、および Ubuntu 20.04 LTS のみです。(CVE-2021-26117)

    Apache ActiveMQ が認証を不適切に処理したことが判明しました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2022-41678)

    Apache ActiveMQ が逆シリアル化を不適切に処理していたことが判明しました。リモートの攻撃者がこの問題を悪用して、任意のシェルコマンドを実行する可能性があります。(CVE-2023-46604)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS 主机上安装的多个程序包受到 USN-6910-1 公告中提及的多个漏洞影响。

    Chess Hazlett 发现 Apache ActiveMQ 未能正确处理某些命令。攻击者可能利用此问题造成程序终止，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 发现 Apache ActiveMQ 未能正确处理主机名验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 发现 Apache ActiveMQ 未正确处理某些函数中的身份验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 发现 Apache ActiveMQ 未正确处理 LDAP 身份验证。远程攻击者可能利用此问题获取未经身份验证的访问权限。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    发现 Apache ActiveMQ 未正确处理认证。远程攻击者可能利用此问题执行任意代码。(CVE-2022-41678)

    发现 Apache ActiveMQ 未正确处理反序列化。远程攻击者可能利用此问题执行任意 Shell 命令。(CVE-2023-46604)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 activemq (一個圍繞 Java Message Service 構建的訊息代理程式) 中發現多個安全性問題。

CVE-2017-15709

在 activemq 中使用 OpenWire 通訊協定時，發現某些系統詳細資料 (例如 OS 和核心版本) 會顯示為純文字。

CVE-2018-11775

使用 Apache ActiveMQ 用戶端時，缺少 TLS 主機名稱驗證，這可使用戶端容易受到使用 ActiveMQ 用戶端的 Java 應用程式和 ActiveMQ 伺服器之間的 MITM 攻擊。現在，此項預設為啟用。

CVE-2019-0222

取消封送損毀的 MQTT 框架可導致代理程式發生記憶體不足異常，使其無法回應

CVE-2021-26117

選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。使用匿名內容錯誤驗證有效的使用者密碼，進而導致未檢查密碼。

針對 Debian 9 Stretch，已在 5.14.3-3+deb9u2 版本中修正這些問題。

建議您升級 activemq 套件。

如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的 Oracle Enterprise Manager Cloud Control 版本，受到 Enterprise Manager Base Platform 元件中的多個弱點影響：- Oracle Enterprise Manager Products Suite (子元件：Connector Framework (Apache CXF)) 的 Enterprise Manager Base Platform 元件中有一個不明弱點，未經驗證的遠端攻擊者可藉以入侵 Enterprise Manager Base Platform。(CVE-2018-8039) - Oracle Enterprise Manager Products Suite (子元件：Valid Session (Apache ActiveMQ)) 的 Oracle Enterprise Manager Base Platform 元件中有一個不明弱點，未經驗證的遠端攻擊者可藉以入侵 Oracle Enterprise Manager Base Platform。(CVE-2019-0222) - Oracle Enterprise Manager Products Suite (子元件：Discovery Framework (OpenSSL)) 的 Enterprise Manager Base Platform 元件中有一個不明弱點，未經驗證的遠端攻擊者可藉以入侵 Enterprise Manager Base Platform。(CVE-2019-1559)

在围绕 Java Message Service 构建的消息代理 activemq 中发现多个安全问题。

CVE-2017-15709

在 activemq 中使用 OpenWire 协议时，发现某些系统详细信息（如操作系统和内核版本）显示为纯文本。

CVE-2018-11775

使用 Apache ActiveMQ 客户端时缺少 TLS 主机名验证，这可使客户端容易遭受使用 ActiveMQ 客户端的 Java 应用程序和 ActiveMQ 服务器之间的 MITM 攻击。默认情况下启用此项。

CVE-2019-0222

解组损坏的 MQTT 帧可导致代理内存不足异常，使其无法响应

CVE-2021-26117

可以配置可选的 ActiveMQ LDAP 登录模块，通过匿名方式访问 LDAP 服务器。将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。

对于 Debian 9 stretch，已在版本 5.14.3-3+deb9u2 中修复这些问题。

建议您升级 activemq 程序包。

如需了解 activemq 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上安装的 Oracle Enterprise Manager Cloud Control 版本受到 Enterprise Manager Base Platform 组件中的多个漏洞影响：- Oracle Enterprise Manager Products Suite（子组件：Connector Framework (Apache CXF)）的 Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Enterprise Manager Base Platform。(CVE-2018-8039) - Oracle Enterprise Manager Products Suite（子组件：Valid Session (Apache ActiveMQ)）的 Oracle Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Oracle Enterprise Manager Base Platform。(CVE-2019-0222) - Oracle Enterprise Manager Products Suite（子组件：Discovery Framework (OpenSSL)）的 Enterprise Manager Base Platform 组件中存在一个不明漏洞，未经身份验证的远程攻击者可入侵 Enterprise Manager Base Platform。(CVE-2019-1559)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
117483	Apache ActiveMQ Client 5.x < 5.15.6 TLS Hostname Verification Weakness	Nessus	CGI abuses	2018/9/14	2025/3/25	high
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Apache ActiveMQ vulnerabilities (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
117483	Apache ActiveMQ Client 5.x < 5.15.6 TLS ホスト名検証の脆弱性	Nessus	CGI abuses	2018/9/14	2025/3/25	high
117483	Apache ActiveMQ 客户端 5.x < 5.15.6 TLS 主机名验证漏洞	Nessus	CGI abuses	2018/9/14	2025/3/25	high
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 弱點 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
117483	Apache ActiveMQ Client 5.x < 5.15.6 TLS 主機名稱驗證弱點	Nessus	CGI abuses	2018/9/14	2025/3/25	high
147182	Debian DLA-2583-1 : activemq security update	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
126775	Oracle Enterprise Manager Cloud Control (Jul 2019 CPU)	Nessus	Misc.	2019/7/17	2022/12/6	high
147182	DebianDLA-2583-1：activemqのセキュリティ更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
126775	Oracle Enterprise Manager Cloud Control（2019年7月のCPU）	Nessus	Misc.	2019/7/17	2022/12/6	high
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Apache ActiveMQ の脆弱性 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 漏洞 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
147182	Debian DLA-2583-1：activemq 安全性更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
126775	Oracle Enterprise Manager Cloud Control (2019 年 7 月 CPU)	Nessus	Misc.	2019/7/17	2022/12/6	high
147182	Debian DLA-2583-1：activemq 安全更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
126775	Oracle Enterprise Manager Cloud Control （2019 年 7 月 CPU）	Nessus	Misc.	2019/7/17	2022/12/6	high

检测

插件搜索

high

critical

high

high

critical

high

high

high

high

high

critical

critical

high

high

high

high