CVE-2020-11998

गंभीरप्रकाशित

प्रकाशित: 10 सित॰ 2020
अद्यतन: 4 अग॰ 2024
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

9.8/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

51.2%

उच्च · अगले 30 दिन

प्रतिशत: 98.9%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

एक रिग्रेशन उस कमिट में पेश किया गया है जो JMX री-बाइंड को रोकता है। RMIConnectorServer को प्रमाणीकरण क्रेडेंशियल्स वाले मैप के बजाय एक खाली एनवायरनमेंट मैप पास करने से, यह ActiveMQ को निम्नलिखित हमले के लिए खुला छोड़ देता है: https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html "एक दूरस्थ क्लाइंट एक javax.management.loading.MLet MBean बना सकता है और इसका उपयोग मनमाने URLs से नए MBeans बनाने के लिए कर सकता है, कम से कम यदि कोई सुरक्षा प्रबंधक नहीं है। दूसरे शब्दों में, एक दुर्भावनापूर्ण दूरस्थ क्लाइंट आपके Java एप्लिकेशन को मनमाना कोड निष्पादित करा सकता है।" शमन: Apache ActiveMQ 5.15.13 में अपग्रेड करें।

स्रोत

apache__activemq_CVE-2020-11998_5-15-12एक्सप्लॉइट
CVE-2020-11998 के लिए एक शोषण जो Apache ActiveMQ 5.15.12 को लक्षित करता है, कमजोर मैसेज ब्रोकर को तैयार संदेशों के माध्यम से दूरस्थ कोड निष्पादन को सक्षम करता है।

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।