PT-2020-3257 · Apache · Apache Activemq

CVE-2020-1941 · Publicado 2020-05-14 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache ActiveMQ de 5.0.0 a 5.15.11

Descrição

O problema está relacionado à falta de sanitização de dados de entrada na interface gráfica de administração (GUI) do Apache ActiveMQ, o que o torna suscetível a ataques de cross-site scripting (XSS). Especificamente, a visualização que lista o conteúdo de uma fila está vulnerável. Isso poderia permitir que um invasor remoto realizasse ataques de cross-site scripting.

Recomendações

Para as versões 5.0.0 a 5.15.11 do Apache ActiveMQ, considere desativar a interface gráfica de administração (GUI) do webconsole ou restringir o acesso a ela até que um patch esteja disponível. Como solução alternativa temporária, evite usar a visualização do conteúdo da fila na interface gráfica de administração (GUI) do webconsole para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2020-03565

BIT-ACTIVEMQ-2020-1941

CVE-2020-1941

GHSA-CC94-3V9C-7RM8

Produtos afetados

Apache Activemq

Referências · 28

• https://github.com/apache/activemq · Nota
• https://github.com/apache/activemq/commit/81bd743eaa243f0cc5dfbb1342cee1fef1fc5df2 · Nota
• https://github.com/apache/activemq/commit/7793a95 · Nota
• https://github.com/apache/activemq/commit/c0e17a3 · Nota
• https://osv.dev/vulnerability/GHSA-cc94-3v9c-7rm8 · Aviso do Fabricante
• https://lists.apache.org/thread.html/re4672802b0e5ed67c08c9e77057d52138e062f77cc09581b723cf95a@%3Ccommits.activemq.apache.org%3E · Nota
• http://activemq.apache.org/security-advisories.data/CVE-2020-1941-announcement.txt · Aviso do Fabricante
• https://lists.apache.org/thread.html/rb2fd3bf2dce042e0ab3f3c94c4767c96bb2e7e6737624d63162df36d%40%3Ccommits.activemq.apache.org%3E · Nota
• https://oracle.com/security-alerts/cpuApr2021.html · Nota
• https://lists.apache.org/thread.html/r946488fb942fd35c6a6e0359f52504a558ed438574a8f14d36d7dcd7@%3Ccommits.activemq.apache.org%3E · Nota
• https://oracle.com/security-alerts/cpujul2021.html · Nota
• https://t.me/cvenotify/9561 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-1941 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-1941 · Aviso do Fabricante
• https://oracle.com//security-alerts/cpujul2021.html · Nota