CVE-2024-32114

ВысокийОпубликовано

Apache ActiveMQ: Jolokia и REST API не были защищены конфигурацией по умолчанию

Опубликовано: 2 мая 2024 г.
Обновлено: 2 авг. 2024 г.
Назначение CNA: apache
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

8,8/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

7,1 %

Низкий · следующие 30 дней

Процентиль: 94,2 %
Дата модели: 19 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

В Apache ActiveMQ 6.x конфигурация по умолчанию не защищает веб-контекст API (где расположены Jolokia JMX REST API и Message REST API). Это означает, что любой может использовать эти уровни без какой-либо обязательной аутентификации. Потенциально любой может взаимодействовать с брокером (используя Jolokia JMX REST API) и/или производить/потреблять сообщения или очищать/удалять пункты назначения (используя Message REST API). Чтобы снизить риск, пользователи могут обновить файл конфигурации conf/jetty.xml по умолчанию, добавив требование аутентификации: <bean id="securityConstraintMapping" class="org.eclipse.jetty.security.ConstraintMapping"> <property name="constraint" ref="securityConstraint" /> <property name="pathSpec" value="/" /> </bean> Либо мы рекомендуем пользователям обновиться до Apache ActiveMQ 6.1.2, где конфигурация по умолчанию была обновлена и теперь аутентификация включена по умолчанию.

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 2

1 Шаблон1 Лаборатория

Apache ActiveMQ Jolokia API Unauthorized AccessЛаборатория
activemq/CVE-2024-32114
Apache ActiveMQ Jolokia API Unauthorized Access (CVE-2024-32114)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 9b90d4276f84Связанный инструмент
Заявленные условия
- lab image version: vulhub/activemq:6.1.1(activemq/CVE-2024-32114/docker-compose.yml:services.activemq.image)
Apache ActiveMQ 6.x < 6.1.2 - Broken Access ControlШаблон
http/cves/2024/CVE-2024-32114.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: ee9e6969a9beСвязанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.