在 activemq (一個圍繞 Java Message Service 構建的訊息代理程式) 中發現多個安全性問題。

CVE-2017-15709

在 activemq 中使用 OpenWire 通訊協定時，發現某些系統詳細資料 (例如 OS 和核心版本) 會顯示為純文字。

CVE-2018-11775

使用 Apache ActiveMQ 用戶端時，缺少 TLS 主機名稱驗證，這可使用戶端容易受到使用 ActiveMQ 用戶端的 Java 應用程式和 ActiveMQ 伺服器之間的 MITM 攻擊。現在，此項預設為啟用。

CVE-2019-0222

取消封送損毀的 MQTT 框架可導致代理程式發生記憶體不足異常，使其無法回應

CVE-2021-26117

選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。使用匿名內容錯誤驗證有效的使用者密碼，進而導致未檢查密碼。

針對 Debian 9 Stretch，已在 5.14.3-3+deb9u2 版本中修正這些問題。

建議您升級 activemq 套件。

如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2583-1：activemq 安全性更新

high Nessus Plugin ID 147182

版本 1.3