PT-2026-45373
CVE-2026-42588
·
تاريخ النشر
2026-05-31
·
تاريخ التحديث
2026-09-02
الوصف من
CVSS 2.0
8.5
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache ActiveMQ Broker السابقة للإصدار 5.19.7
إصدارات Apache ActiveMQ Broker من 6.0.0 إلى 6.2.5
جميع إصدارات Apache ActiveMQ السابقة للإصدار 5.19.7
جميع إصدارات Apache ActiveMQ من 6.0.0 إلى 6.2.5
إصدارات Apache ActiveMQ الأقدم من 5.19.7
إصدارات Apache ActiveMQ من 6.0.0 إلى 6.2.5
الوصف
يؤدي التحقق غير السليم من صحة المدخلات والتحكم غير السليم في إنشاء الكود إلى مشكلة حقن الكود. يعرض Apache ActiveMQ Classic جسر Jolokia JMX-HTTP عند نقطة النهاية ’/api/jolokia/‘ على وحدة التحكم على الويب. تسمح سياسة الوصول الافتراضية بتنفيذ العمليات على جميع MBeans في ActiveMQ، وتحديدًا الدالة
addNetworkConnector(String) داخل BrokerService. يمكن للمهاجم الذي تمت مصادقته استخدام عنوان URI اكتشافي مُعد خصيصًا لتشغيل المعلمة brokerConfig لنقل VM عبر عنوان URL ”masterslave://“. وهذا يسمح بتحميل سياق تطبيق Spring XML باستخدام ResourceXmlApplicationContext. ونظرًا لأن هذا السياق يقوم بإنشاء مثيلات لفئات singleton قبل التحقق من صحة التكوين، يمكن تنفيذ تعليمات برمجية تعسفية على JVM للوسيط من خلال طرق مصنع الفئات مثل Runtime.exec().التوصيات
قم بترقية Apache ActiveMQ Broker إلى الإصدار 5.19.7 أو 6.2.6.
قم بترقية Apache ActiveMQ All إلى الإصدار 5.19.7 أو 6.2.6.
قم بترقية Apache ActiveMQ إلى الإصدار 5.19.7 أو 6.2.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾