CVE-2015-5254

CríticoPublicado

Apache ActiveMQ 5.x en versiones anteriores a 5.13.0 no restringe las clases que pueden ser serializadas en el broker, lo que permite a atacantes remotos...

Publicado: 8 ene 2016
Actualizado: 6 ago 2024
Asignación de CNA: redhat
Evidencia observada: 8 ago 2026

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.0

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

38,2 %

Moderado · próximos 30 días

Percentil: 98,5 %
Fecha del modelo: 13 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

Apache ActiveMQ 5.x en versiones anteriores a 5.13.0 no restringe las clases que pueden ser serializadas en el broker, lo que permite a atacantes remotos ejecutar código arbitrario a través de un objeto ObjectMessage Java Message Service (JMS) serializado manipulado.

Fuentes

Evidencia de repositorios: Archivos: 1 · Repositorios: 1

1 Laboratorio

Apache ActiveMQ DeserializationLaboratorio
activemq/CVE-2015-5254
ActiveMQ Deserialization Vulnerability (CVE-2015-5254)
Vulhub vulnerability labs
InvestigaciónEvidencia observada: 25 sept 2026Revisión: 8fd63916f7a8Herramienta relacionada
Condiciones declaradas
- lab image version: vulhub/activemq:5.11.1(activemq/CVE-2015-5254/docker-compose.yml:services.activemq.image)

Exploitation-de-la-vuln-rabilit-CVE-2015-5254-Exploit
Guía de explotación paso a paso para la vulnerabilidad de deserialización CVE-2015-5254 de Apache ActiveMQ usando jmet, con configuración de laboratorio basada en Docker y verificación.
ActiveMQ_CVE-2015-5254

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.