Apache ActiveMQ, a Java message broker, uses LocateRegistry.createRegistry() to create the JMX RMI registry and binds the server to the 'jmxrmi' entry. It is possible to connect to the registry without authentication and call the rebind method to rebind jmxrmi to something else. If an attacker creates another server to proxy the original, and bound that, he effectively becomes a man in the middle and is able to intercept the credentials when an user connects.

For Debian 9 stretch, this problem has been fixed in version 5.14.3-3+deb9u1.

We recommend that you upgrade your activemq packages.

For the detailed security status of activemq please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/activemq

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

JavaメッセージブローカーであるApache ActiveMQは、LocateRegistry.createRegistry()を使用してJMX RMIレジストリを作成し、サーバーを「jmxrmi」エントリにバインドします。認証なしでレジストリに接続し、rebindメソッドを呼び出して、jmxrmiを他のものに再バインドすることが可能です。攻撃者が元のサーバーのプロキシとなる別のサーバーを作成して、それをバインドした場合、その攻撃者は事実上の中間者になり、ユーザーが接続するときに資格情報を傍受できるようになります。

Debian 9「Stretch」では、この問題はバージョン5.14.3-3+deb9u1で修正されています。

お使いのactivemqパッケージをアップグレードすることを推奨します。

activemqの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/activemq

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Apache ActiveMQ (一個 Java 訊息代理程式) 使用 LocateRegistry.createRegistry() 建立 JMX RMI 登錄，並將伺服器系結至「jmxrmi」項目。它可以不經驗證即連線至登錄檔，並呼叫 rebind 方法以將 jmxrmi 重新系結至其他項目。如果攻擊者建立其他伺服器以代理原始伺服器並加以限制，則其實際上會變成攔截式攻擊，並能夠在使用者連線時攔截憑證。

針對 Debian 9 Stretch，已在 5.14.3-3+deb9u1 版本中修正此問題。

建議您升級 activemq 套件。

如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的多個套件受到 USN-6910-1 公告中提及的多個弱點影響。

    Chess Hazlett 發現 Apache ActiveMQ 未正確處理某些命令。遠端攻擊者可能利用此問題造成程式終止，進而導致拒絕服務。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 發現 Apache ActiveMQ 未正確處理主機名稱驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 發現 Apache ActiveMQ 未正確處理某些函式中的驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 發現 Apache ActiveMQ 未正確處理 LDAP 驗證。遠端攻擊者可能會利用此問題獲得未經驗證的權限。此問題僅影響了 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    據發現，Apache ActiveMQ 未正確處理驗證。遠端攻擊者可能會利用此問題執行任意程式碼。(CVE-2022-41678)

    據發現，Apache ActiveMQ 未正確處理還原序列化。遠端攻擊者可能會利用此問題執行 shell 命令。(CVE-2023-46604)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3657 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3657-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     November 20, 2023                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : activemq     Version        : 5.15.16-0+deb10u1     CVE ID         : CVE-2020-13920 CVE-2021-26117 CVE-2023-46604     Debian Bug     : 1054909 982590

    Several security vulnerabilities have been discovered in ActiveMQ, a Java     message broker.

    CVE-2020-13920

     Apache ActiveMQ uses LocateRegistry.createRegistry() to create the JMX RMI      registry and binds the server to the jmxrmi entry. It is possible to connect      to the registry without authentication and call the rebind method to rebind      jmxrmi to something else. If an attacker creates another server to proxy the      original, and bound that, he effectively becomes a man in the middle and is      able to intercept the credentials when an user connects.

    CVE-2021-26117

     The optional ActiveMQ LDAP login module can be configured to use anonymous      access to the LDAP server.

    CVE-2023-46604

     The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution.
     This vulnerability may allow a remote attacker with network access to either a      Java-based OpenWire broker or client to run arbitrary shell commands by      manipulating serialized class types in the OpenWire protocol to cause either      the client or the broker (respectively) to instantiate any class on the     classpath.

    For Debian 10 buster, these problems have been fixed in version     5.15.16-0+deb10u1.

    We recommend that you upgrade your activemq packages.

    For the detailed security status of activemq please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/activemq

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Java 消息代理 Apache ActiveMQ 会使用 LocateRegistry.createRegistry() 创建 JMX RMI 注册表，并将服务器绑定到“jmxrmi”条目。有可能在不进行认证的情况下连接到注册表，并调用 rebind 方法重新绑定 jmxrmi。如果攻击者创建其他服务器以代理原始服务器并进行绑定，则该攻击者实际上会成为中间人，并且能够在用户连接时拦截凭据。

针对 Debian 9 stretch，此问题已在 5.14.3-3+deb9u1 版本中修复。

建议您升级 activemq 程序包。

如需了解 activemq 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3657 公告中提及的多個弱點影響。

  - Apache ActiveMQ 使用 LocateRegistry.createRegistry() 建立 JMX RMI 登錄，並將伺服器繫結至 jmxrmi 項目。它可以不經驗證即連線至登錄檔，並呼叫 rebind 方法以將 jmxrmi 重新系結至其他項目。如果攻擊者建立其他伺服器以代理原始伺服器並加以限制，則其實際上會變成攔截式攻擊，並能夠在使用者連線時攔截憑證。升級至 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 選用的 ActiveMQ LDAP 登入模組可設為以匿名方式存取 LDAP 伺服器。在此情況下，對於 2.16.0 之前版本的 Apache ActiveMQ Artemis 和 5.16.1 與 5.15.14 之前版本的 Apache ActiveMQ，系統會錯誤地使用匿名內容驗證有效使用者密碼，導致未檢查密碼。(CVE-2021-26117)

  - Java OpenWire 通訊協定封送處理器容易受到遠端執行程式碼影響。出現此弱點時，若遠端攻擊者可透過網路存取使用 Java 的 OpenWire 訊息代理程式或用戶端，便可能透過操控 OpenWire 通訊協定中的序列化類別類型來執行任意 shell 命令，造成用戶端或訊息代理程式 (分別) 具現化類別路徑的任何類別。建議使用者將訊息代理程式和用戶端升級至 5.15.16、5.16.7、5.17.6 或 5.18.3 版，即可修正此問題。
    (CVE-2023-46604)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Sonatype reports :

- CVE-2020-13920: Apache ActiveMQ JMX is vulnerable to a MITM attack

The remote Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-6910-1 advisory.

    Chess Hazlett discovered that Apache ActiveMQ incorrectly handled certain commands. A remote attacker     could possibly use this issue to terminate the program, resulting in a denial of service. This issue only     affected Ubuntu 16.04 LTS. (CVE-2015-7559)

    Peter Stckli discovered that Apache ActiveMQ incorrectly handled hostname verification. A remote     attacker could possibly use this issue to perform a person-in-the-middle attack. This issue only affected     Ubuntu 16.04 LTS. (CVE-2018-11775)

    Jonathan Gallimore and Colm  higeartaigh discovered that Apache ActiveMQ incorrectly handled     authentication in certain functions. A remote attacker could possibly use this issue to perform a person-     in-the-middle attack. This issue only affected Ubuntu 16.04 LTS, Ubuntu 18.04 LTS and Ubuntu 20.04 LTS.
    (CVE-2020-13920)

    Gregor Tudan discovered that Apache ActiveMQ incorrectly handled LDAP authentication. A remote attacker     could possibly use this issue to acquire unauthenticated access. This issue only affected Ubuntu 16.04     LTS, Ubuntu 18.04 LTS and Ubuntu 20.04 LTS. (CVE-2021-26117)

    It was discovered that Apache ActiveMQ incorrectly handled authentication. A remote attacker could     possibly use this issue to run arbitrary code. (CVE-2022-41678)

    It was discovered that Apache ActiveMQ incorrectly handled deserialization. A remote attacker could     possibly use this issue to run arbitrary shell commands. (CVE-2023-46604)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 10 ホストには、dla-3657 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache ActiveMQ は、LocateRegistry.createRegistry() を使用して JMX RMI レジストリを作成し、サーバーを「jmxrmi」エントリにバインドします。認証なしでレジストリに接続し、rebind メソッドを呼び出して、jmxrmi を他のものに再バインドすることが可能です。攻撃者が元のサーバーのプロキシとなる別のサーバーを作成して、それをバインドした場合、その攻撃者は事実上の中間者になり、ユーザーが接続するときに資格情報を傍受できるようになります。Apache ActiveMQ を 5.15.12 にアップグレードしてください。(CVE-2020-13920)

  - オプションの ActiveMQ LDAP ログインモジュールは、LDAP サーバーへの匿名アクセスを使用するように構成できます。この場合、バージョン 2.16.0 より前の Apache ActiveMQ Artemis、5.16.1 および 5.15.14 より前の Apache ActiveMQ では、匿名のコンテキストを使用して、有効なユーザーのパスワードを誤って検証するため、パスワードがチェックされません。(CVE-2021-26117)

  - Java OpenWire プロトコルマーシャラーは、リモートコード実行の脆弱性があります。この脆弱性により、Java ベースの OpenWire ブローカーまたはクライアントにネットワークアクセス権があるリモートの攻撃者が、OpenWire プロトコルのシリアル化されたクラスタイプを操作してクライアントまたはブローカーに (それぞれ) クラスパス上の任意のクラスをインスタンス化させることで、任意のシェルコマンドを実行する可能性があります。ユーザーには、ブローカーとクライアントの両方を、この問題を修正したバージョンであるバージョン 5.15.16、5.16.7、5.17.6、または 5.18.3 にアップグレードすることをお勧めします。
    (CVE-2023-46604)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Debian 10 主机上安装的程序包受到 dla-3657 公告中提及的多个漏洞影响。

  - Apache ActiveMQ 会使用 LocateRegistry.createRegistry() 创建 JMX RMI 注册表，并将服务器绑定到 jmxrmi 条目。有可能在不进行认证的情况下连接到注册表，并调用 rebind 方法重新绑定 jmxrmi。如果攻击者创建其他服务器以代理原始服务器并进行绑定，则该攻击者实际上会成为中间人，并且能够在用户连接时拦截凭据。升级到 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 可选的 ActiveMQ LDAP 登录模块可以被配置为通过匿名方式访问 LDAP 服务器。在这种情况下，对于低于 2.16.0 版本的 Apache ActiveMQ Artemis 以及低于 5.16.1 和 5.15.14 版本的 Apache ActiveMQ，将使用匿名上下文错误验证有效的用户密码，从而导致未检查密码。(CVE-2021-26117)

  - Java OpenWire 协议编组器容易受到远程代码执行的攻击。利用该漏洞，可以通过网络访问 Java 型 OpenWire 代理或客户端的远程攻击者可以通过操纵 OpenWire 协议中的序列化类类型来运行任意 shell 命令，从而导致客户端或代理（分别）实例化类路径上的任何类。建议用户升级到修复了此问题的代理和客户端（版本 5.15.16、5.16.7、5.17.6、5.18.3）。
    (CVE-2023-46604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS 主机上安装的多个程序包受到 USN-6910-1 公告中提及的多个漏洞影响。

    Chess Hazlett 发现 Apache ActiveMQ 未能正确处理某些命令。攻击者可能利用此问题造成程序终止，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 发现 Apache ActiveMQ 未能正确处理主机名验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 发现 Apache ActiveMQ 未正确处理某些函数中的身份验证。远程攻击者可能利用此问题执行 person-in-the-middle 攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 发现 Apache ActiveMQ 未正确处理 LDAP 身份验证。远程攻击者可能利用此问题获取未经身份验证的访问权限。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    发现 Apache ActiveMQ 未正确处理认证。远程攻击者可能利用此问题执行任意代码。(CVE-2022-41678)

    发现 Apache ActiveMQ 未正确处理反序列化。远程攻击者可能利用此问题执行任意 Shell 命令。(CVE-2023-46604)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Sonatypeによる報告：

- CVE-2020-13920：Apache ActiveMQ JMXはMITM攻撃に対して脆弱です。

リモートの Ubuntu 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS ホストには、USN-6910-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Chess Hazlett 氏は、Apache ActiveMQ が特定のコマンドを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用してプログラムをクラッシュさせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS のみです。(CVE-2015-7559)

    Peter Stckli 氏は、Apache ActiveMQ がホスト名の検証を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、中間者攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS のみです。(CVE-2018-11775)

    Jonathan Gallimore 氏と Colm higeartaigh 氏は、Apache ActiveMQ が特定の関数で認証を不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、中間者攻撃を仕掛ける可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS および Ubuntu 20.04 LTS にのみ影響を与えます。
    (CVE-2020-13920)

    Gregor Tudan 氏は、Apache ActiveMQ が LDAP 認証を不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、認証されていないアクセスを獲得する可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、および Ubuntu 20.04 LTS のみです。(CVE-2021-26117)

    Apache ActiveMQ が認証を不適切に処理したことが判明しました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2022-41678)

    Apache ActiveMQ が逆シリアル化を不適切に処理していたことが判明しました。リモートの攻撃者がこの問題を悪用して、任意のシェルコマンドを実行する可能性があります。(CVE-2023-46604)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
141272	Debian DLA-2400-1 : activemq security update	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	medium
141272	Debian DLA-2400-1: activemqセキュリティ更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	medium
141272	Debian DLA-2400-1：activemq 安全性更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	medium
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 弱點 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
186019	Debian dla-3657 : activemq - security update	Nessus	Debian Local Security Checks	2023/11/20	2025/1/22	critical
141272	Debian DLA-2400-1：activemq 安全更新	Nessus	Debian Local Security Checks	2020/10/8	2024/2/16	medium
186019	Debian DLA-3657-1：activemq - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/11/20	2025/1/22	critical
153818	FreeBSD : nexus2-oss -- Apache ActiveMQ JMX vulnerability (730e922f-20e7-11ec-a574-080027eedc6a)	Nessus	FreeBSD Local Security Checks	2021/10/1	2023/11/29	medium
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Apache ActiveMQ vulnerabilities (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
186019	Debian DLA-3657-1: activemq - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/11/20	2025/1/22	critical
186019	Debian DLA-3657-1：activemq - LTS 安全更新	Nessus	Debian Local Security Checks	2023/11/20	2025/1/22	critical
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 漏洞 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical
153818	FreeBSD：nexus2-oss -- Apache ActiveMQ JMXの脆弱性（730e922f-20e7-11ec-a574-080027eedc6a）	Nessus	FreeBSD Local Security Checks	2021/10/1	2023/11/29	medium
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Apache ActiveMQ の脆弱性 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2025/9/3	critical

偵測

搜尋 Plugin

medium

medium

medium

critical

critical

medium

critical

medium

critical

critical

critical

critical

medium

critical