PT-2026-45376
CVE-2026-45505
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-08-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache ActiveMQ Broker السابقة للإصدار 5.19.7
إصدارات Apache ActiveMQ Broker من 6.0.0 إلى 6.2.5
جميع إصدارات Apache ActiveMQ السابقة للإصدار 5.19.7
جميع إصدارات Apache ActiveMQ من 6.0.0 إلى 6.2.5
إصدارات Apache ActiveMQ السابقة للإصدار 5.19.7
إصدارات Apache ActiveMQ من 6.0.0 إلى 6.2.5
الوصف
يؤدي التحقق غير السليم من صحة المدخلات والتحكم غير السليم في إنشاء الكود إلى السماح بحقن الكود. يعرض البرنامج جسر Jolokia JMX-HTTP عند نقطة النهاية ’/api/jolokia/‘. تسمح سياسة الوصول الافتراضية بتنفيذ عمليات على MBeans في ActiveMQ، وتحديدًا الدالتين
BrokerService.addNetworkConnector(String) وBrokerService.addConnector(String). يمكن للمهاجم الذي تمت مصادقته استخدام عنوان URI اكتشاف مُعدّ خصيصًا، مثل masterslave:vm://...,... أو static:vm://...، لتشغيل المعلمة brokerConfig لنقل VM. يؤدي هذا إلى قيام ResourceXmlApplicationContext بتحميل سياق تطبيق Spring XML عن بُعد. ونظرًا لأن حبوب singleton يتم إنشاء مثيلاتها قبل التحقق من صحة التكوين، يمكن تنفيذ تعليمات برمجية تعسفية على JVM للوسيط عبر طرق مصنع الحبوب مثل Runtime.exec().التوصيات
قم بترقية إصدارات وسيط Apache ActiveMQ الأقدم من 5.19.7 إلى الإصدار 5.19.7.
قم بترقية إصدارات وسيط Apache ActiveMQ من 6.0.0 إلى 6.2.5 إلى الإصدار 6.2.6.
قم بترقية جميع إصدارات Apache ActiveMQ السابقة للإصدار 5.19.7 إلى الإصدار 5.19.7.
قم بترقية جميع إصدارات Apache ActiveMQ من 6.0.0 إلى 6.2.5 إلى الإصدار 6.2.6.
قم بترقية إصدارات Apache ActiveMQ السابقة للإصدار 5.19.7
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾