[TLP:CLEAR] Apache opravuje kritickú zraniteľnosť v produkte ActiveMQ

Apache opravuje kritickú zraniteľnosť v produkte ActiveMQ.

CVE-2023-46604 - ActiveMQ RCE
CVSS 10.0 (Critical)

Vďaka deserializácii na zraniteľnom zariadení je umožnené neautentizovanému vzdialenému útočníkovi spúšťať shell príkazy [1]. K zraniteľnosti je verejne dostupný PoC [2]. CISA zaradila zraniteľnosť na zoznam známych zneužívaných zraniteľností [3]. Dopad: Malicious code execution affecting overall confidentiality, integrity, and availability of the system Odporúčania: Zraniteľnosť je opravená vo verziách 5.15.16, 5.16.7, 5.17.6 a 5.18.3 [1].

Zraniteľnosť sa nachádza v produktoch:

  • Apache ActiveMQ; >=5.18.0, <5.18.3; >=5.17.0, <5.17.6; >=5.16.0, <5.16.7; >=0, <5.15.16
  • Apache InActive; >=4.0, <4.5.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 27. 10. 2023. Naposledy bol tento report aktualizovaný 28. 10. 2023.

Za CESNET, z.s.p.o. Martin Krajči dňa 6. 11. 2023.

CESNET, z.s.p.o. Logo