Apache ActiveMQ < 5.19.8 / 6.x < 6.2.7 多個漏洞

high Nessus Plugin ID 324953

語言:

概要

遠端主機正在執行受到多個弱點影響的 Web 應用程式。

說明

遠端主機上執行的 Apache ActiveMQ 版本早 5.19.8 於或 6.x 早於 6.2.7。因此，會受到多個弱點影響：

- Apache ActiveMQ、Apache ActiveMQ All、Apache ActiveMQ Stomp 中的不當輸入驗證弱點。可連線至公開 STOMP 連接器的遠端未經驗證對等體，可傳送負內容長度，以觸發拒絕服務行為。針對 NIO STOMP 傳輸，攻擊者可保留串流內文位元組，並將每個連線命令緩衝區增長到超出設定的限制，以造成 OOM。對於封鎖 STOMP 通訊協定，錯誤會改為強制對受影響的連線和關閉進行異常傳輸異常處理。（CVE-2026-49432）

- Apache ActiveMQ 用戶端、Apache ActiveMQ、Apache ActiveMQ 中的記憶體配置具有過大的大小值弱點。未經驗證的網路攻擊者可傳送具有惡意大型值的特製 WireFormatInfo 框架，藉此造成代理程式 DoS。此值未經過驗證，並導致代理程式在驗證前交涉期間嘗試配置，這可能會觸發 OOM 並使代理程式當機。（CVE-2026-50734）

- Apache ActiveMQ 中的不當授權弱點。依預設，經過驗證的低權限 Web 主控台使用者可以存取 Web 主控台中的 /admin/* 路徑。預設的 Jetty 設定錯誤地未將這些路徑限制為僅限管理員。（CVE-2026-49877）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。