遠端主機上執行的 Apache ActiveMQ 版本為 5.15.14 之前的 5.x 版或 5.16.1 之前的 5.16.x 版。因此，該主機會受到多個弱點影響，包括： 

  - 驗證繞過弱點。選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。在此情況下，對於 5.16.1 和 5.15.14之前版本的 Apache ActiveMQ，系統會使用匿名內容驗證錯誤的有效使用者密碼，進而導致未檢查密碼。(CVE-2021-26117)

  - Apache ActiveMQ 中存在一個跨網站指令碼 (XSS) 弱點，這是未正確驗證使用者提供的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。 (CVE-2020-13947)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 activemq (一個圍繞 Java Message Service 構建的訊息代理程式) 中發現多個安全性問題。

CVE-2017-15709

在 activemq 中使用 OpenWire 通訊協定時，發現某些系統詳細資料 (例如 OS 和核心版本) 會顯示為純文字。

CVE-2018-11775

使用 Apache ActiveMQ 用戶端時，缺少 TLS 主機名稱驗證，這可使用戶端容易受到使用 ActiveMQ 用戶端的 Java 應用程式和 ActiveMQ 伺服器之間的 MITM 攻擊。現在，此項預設為啟用。

CVE-2019-0222

取消封送損毀的 MQTT 框架可導致代理程式發生記憶體不足異常，使其無法回應

CVE-2021-26117

選用的 ActiveMQ LDAP 登入模組可設為使用匿名存取 LDAP 伺服器。使用匿名內容錯誤驗證有效的使用者密碼，進而導致未檢查密碼。

針對 Debian 9 Stretch，已在 5.14.3-3+deb9u2 版本中修正這些問題。

建議您升級 activemq 套件。

如需有關 activemq 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/activemq

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3657 公告中提及的多個弱點影響。

  - Apache ActiveMQ 使用 LocateRegistry.createRegistry() 建立 JMX RMI 登錄，並將伺服器繫結至 jmxrmi 項目。它可以不經驗證即連線至登錄檔，並呼叫 rebind 方法以將 jmxrmi 重新系結至其他項目。如果攻擊者建立其他伺服器以代理原始伺服器並加以限制，則其實際上會變成攔截式攻擊，並能夠在使用者連線時攔截憑證。升級至 Apache ActiveMQ 5.15.12。(CVE-2020-13920)

  - 選用的 ActiveMQ LDAP 登入模組可設為以匿名方式存取 LDAP 伺服器。在此情況下，對於 2.16.0 之前版本的 Apache ActiveMQ Artemis 和 5.16.1 與 5.15.14 之前版本的 Apache ActiveMQ，系統會錯誤地使用匿名內容驗證有效使用者密碼，導致未檢查密碼。(CVE-2021-26117)

  - Java OpenWire 通訊協定封送處理器容易受到遠端執行程式碼影響。出現此弱點時，若遠端攻擊者可透過網路存取使用 Java 的 OpenWire 訊息代理程式或用戶端，便可能透過操控 OpenWire 通訊協定中的序列化類別類型來執行任意 shell 命令，造成用戶端或訊息代理程式 (分別) 具現化類別路徑的任何類別。建議使用者將訊息代理程式和用戶端升級至 5.15.16、5.16.7、5.17.6 或 5.18.3 版，即可修正此問題。
    (CVE-2023-46604)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的多個套件受到 USN-6910-1 公告中提及的多個弱點影響。

    Chess Hazlett 發現 Apache ActiveMQ 未正確處理某些命令。遠端攻擊者可能利用此問題造成程式終止，進而導致拒絕服務。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2015-7559)

    Peter Stckli 發現 Apache ActiveMQ 未正確處理主機名稱驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。這個問題只會影響 Ubuntu 16.04 LTS。(CVE-2018-11775)

    Jonathan Gallimore 和 Colm higeartaigh 發現 Apache ActiveMQ 未正確處理某些函式中的驗證。遠端攻擊者可能利用此問題發動攔截式攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。
    (CVE-2020-13920)

    Gregor Tudan 發現 Apache ActiveMQ 未正確處理 LDAP 驗證。遠端攻擊者可能會利用此問題獲得未經驗證的權限。此問題僅影響了 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-26117)

    據發現，Apache ActiveMQ 未正確處理驗證。遠端攻擊者可能會利用此問題執行任意程式碼。(CVE-2022-41678)

    據發現，Apache ActiveMQ 未正確處理還原序列化。遠端攻擊者可能會利用此問題執行 shell 命令。(CVE-2023-46604)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
146087	Apache ActiveMQ 5.x < 5.15.14 / 5.16.x < 5.16.1 多個弱點	Nessus	CGI abuses	2021/2/3	2024/6/6	high
147182	Debian DLA-2583-1：activemq 安全性更新	Nessus	Debian Local Security Checks	2021/3/8	2024/1/12	high
186019	Debian DLA-3657-1：activemq - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/11/20	2024/7/31	critical
203693	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache ActiveMQ 弱點 (USN-6910-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2024/8/27	critical

偵測

搜尋 Plugin

high

high

critical

critical