Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache ActiveMQ opravuje 1 zraniteľnosť
Apache verziami 6.1.6, 5.19.0, 5.18.7, 5.17.7 a 5.16.8 opravuje zraniteľnosť v produkte ActiveMQ [1][2].
Neautentifikovanému vzdialenému útočníkovi je z dôvodu nedostatočnej validácie veľkosti bufferu pri deserializácii OpenWire správ umožnené vykonať na brokera útok DoS. To môže ovplyvniť dostupnosť závislých aplikácií a služieb – najmä v prípadoch, keď nie je nasadené vzájomné TLS (mTLS), ktoré by prístup obmedzilo iba na dôveryhodných klientov. Ak nie je možná okamžitá aktualizácia na opravenú verziu, existujúcemu používateľovi sa odporúča riziko dočasne mitigovať implementáciou mTLS na zraniteľnom brokerovi [1][2].
Zraniteľnosť sa nachádza v produkte:
- *:Apache ActiveMQ; >=5.16.0, <5.16.8; >=5.17.0, <5.17.7; >=5.18.0, <5.18.7; >=6.0.0, <6.1.6;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:A/V:D/RE:M/U:Red
Viac informácií:
- CVE-2025-27533 na cve.org, NVD
- CWE-789: Memory Allocation with Excessive Size Value na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 5. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 7. 5. 2025.