CVE-2024-32114
Apache ActiveMQ: Jolokia और REST API डिफ़ॉल्ट कॉन्फ़िगरेशन के साथ सुरक्षित नहीं थे
- प्रकाशित
- 2 मई 2024
- अद्यतन
- 2 अग॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 94.2%
- मॉडल दिनांक
- 19 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache ActiveMQ 6.x में, डिफ़ॉल्ट कॉन्फ़िगरेशन API वेब संदर्भ (जहाँ Jolokia JMX REST API और Message REST API स्थित हैं) को सुरक्षित नहीं करता है। इसका अर्थ है कि कोई भी बिना किसी आवश्यक प्रमाणीकरण के इन परतों का उपयोग कर सकता है। संभावित रूप से, कोई भी ब्रोकर के साथ इंटरैक्ट कर सकता है (Jolokia JMX REST API का उपयोग करके) और/या संदेश उत्पन्न/उपभोग कर सकता है या गंतव्यों को शुद्ध/हटा सकता है (Message REST API का उपयोग करके)। शमन के लिए, उपयोगकर्ता प्रमाणीकरण आवश्यकता जोड़ने के लिए डिफ़ॉल्ट conf/jetty.xml कॉन्फ़िगरेशन फ़ाइल को अपडेट कर सकते हैं: <bean id="securityConstraintMapping" class="org.eclipse.jetty.security.ConstraintMapping"> <property name="constraint" ref="securityConstraint" /> <property name="pathSpec" value="/" /> </bean> या हम उपयोगकर्ताओं को Apache ActiveMQ 6.1.2 में अपग्रेड करने के लिए प्रोत्साहित करते हैं, जहाँ डिफ़ॉल्ट कॉन्फ़िगरेशन को डिफ़ॉल्ट रूप से प्रमाणीकरण के साथ अपडेट किया गया है।
स्रोत
activemq/CVE-2024-32114
Apache ActiveMQ Jolokia API Unauthorized Access (CVE-2024-32114)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/activemq:6.1.1(activemq/CVE-2024-32114/docker-compose.yml:services.activemq.image)
http/cves/2024/CVE-2024-32114.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।