CVE-2020-11998 | Apache ActiveMQ远程代码执行缝隙

颁布功夫 2020-09-14

0x00 缝隙概述

CVE   ID

CVE-2020-11998

时    间

2020-09-14

类    型

远程代码执行

等    级

中危

远程利用

是

影响领域

仅Apache ActiveMQ 5.15.12版本。 。 。。。

    

    2020年09月10日，，，，，Apache软件基金会颁布ActiveMQ新闻中央件中存在一个安全缝隙，，，，，缝隙跟踪为CVE-2020-11998。 。 。。。攻击者可利用该缝隙执行肆意代码。 。 。。。


0x01 缝隙详情

image.png


    Apache ActiveMQ是Apache软件基金会的一个开源项目，，，，，它是一个基于新闻的通讯中央件，，，，，并支持Java新闻服务、集群、Spring Framework等。 。 。。。

    ActiveMQ是JMS的一个具体实现，，，，，支持JMS的两种新闻模型。 。 。。。它遵循JMS1.1规范（Java Message Service），，，，，是新闻驱动中央件软件（MOM）。 。 。。。它为企业新闻传递提供高可用、杰出机能、可扩大、不变和安全保险。 。 。。。

    ActiveMQ使用Apache许可和谈。 。 。。。因而，，，，，任何人都能够使用和批改它而不用反馈任何扭转。 。 。。。这对于贸易大将ActiveMQ用在沉要用处的人尤为关键。 。 。。。ActiveMQ的指标是在尽可能多的平台和说话上提供一个尺度的，，，，，新闻驱动的利用集成。 。 。。。

    CVE-2020-11998缝隙形成的原由于：

    1. 在提交预防JMX(Java Management Extensions，，，，，即Java治理扩大,是一个为利用法式、设备、系统等植入治理职能的框架)沉新绑定中引入了regression。 。 。。。

    2. 将一个空的环境映射而不是蕴含身份验证痛处的映射传递到RMIConnectorServer会使得ActiveMQ容易受到以下攻击：

    https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html。 。 。。。

    3. 在没有安全治理器的情况下，，，，，远程客户端能够创建一个javax.management.loading.MLet MBean，，，，，并使用它从肆意URL创建新的MBean，，，，，这可能会导致恶意的远程客户端使用Java利用法式执行肆意代码。 。 。。。

0x02 措置建议

    目前Apache官方已颁布安全更新，，，，，建议升级到Apache ActiveMQ 5.15.13版本。 。 。。。

    下载链接：

    http://activemq.apache.org/activemq-51513-release

0x03 有关新闻

    https://www.secfree.com/vul-150408.html

 

0x04 参考链接

    http://activemq.apache.org/security-advisories.data/CVE-2020-11998-announcement.txt

    https://nvd.nist.gov/vuln/detail/CVE-2020-11998

    https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11998

0x05 功夫线

    2020-09-10 Apache颁布安全布告

    2020-09-14 VSRC颁布安全公告



image.png