PT-2024-3291 · Apache · Apache Activemq

Martin Zeissig

·

Publicado

2024-04-11

·

Atualizado

2026-06-10

·

CVE-2024-32114

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Apache ActiveMQ versões 6.x anteriores a 6.1.2
Description A configuração padrão não protege o contexto web da API, levando a uma inicialização insegura de recursos devido à falta de autenticação. Isso permite que invasores remotos usem a Jolokia JMX REST API para interagir com o broker, ou a Message REST API para produzir, consumir, purgar ou excluir mensagens e destinos. Isso pode resultar no acesso não autorizado para leitura, modificação ou exclusão de informações.
Recommendations Atualize para a versão 6.1.2. Como mitigação temporária, atualize o arquivo de configuração conf/jetty.xml para adicionar um requisito de autenticação, incluindo o bean securityConstraintMapping com a variável pathSpec definida como /.

Correção

Missing Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-1188CWE-306

Identificadores relacionados

BDU:2024-03523
BIT-ACTIVEMQ-2024-32114
CVE-2024-32114
GHSA-GJ5M-M88J-V7C3

Produtos afetados

Apache Activemq