CVE-2023-46604
Apache ActiveMQ, Apache ActiveMQ Legacy OpenWire Module: Unbegrenzte Deserialisierung macht ActiveMQ anfällig für einen Remote-Codeausführungs-Angriff (RCE)
- Veröffentlicht
- 27.10.2023
- Aktualisiert
- 03.11.2025
- CNA zuweisen
- apache
- Beweise beobachtet
- 02.11.2023
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 100,0 %
- Modelldatum
- 17.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Der Java-OpenWire-Protokoll-Marshaller ist anfällig für Remote Code Execution. Diese Schwachstelle kann es einem entfernten Angreifer mit Netzwerkzugriff auf einen Java-basierten OpenWire-Broker oder -Client ermöglichen, beliebige Shell-Befehle auszuführen, indem er serialisierte Klassentypen im OpenWire-Protokoll manipuliert, um entweder den Client oder den Broker (jeweils) zu veranlassen, eine beliebige Klasse auf dem Klassenpfad zu instanziieren. Benutzern wird empfohlen, sowohl Broker als auch Clients auf die Versionen 5.15.16, 5.16.7, 5.17.6 oder 5.18.3 zu aktualisieren, die dieses Problem beheben.
Quellen
activemq/CVE-2023-46604
Apache ActiveMQ OpenWire Protocol Deserialization RCE (CVE-2023-46604)
Vulhub vulnerability labsAngegebene Bedingungen
- lab image version: vulhub/activemq:5.17.3(activemq/CVE-2023-46604/docker-compose.yml:services.activemq.image)
modules/exploits/multi/misc/apache_activemq_rce_cve_2023_46604.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Linux,Unix,Windows($.exploit_multi/misc/apache_activemq_rce_cve_2023_46604.platform)
- verification: check_declared($.exploit_multi/misc/apache_activemq_rce_cve_2023_46604.check)
javascript/cves/2023/CVE-2023-46604.yaml
Nuclei TemplatesAngegebene Bedingungen
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.