CVE-2020-11998

总结

在防止 JMX 重新绑定的提交中引入了一个回归问题。通过向 RMIConnectorServer 传递一个空的环境映射，而不是包含身份验证凭据的映射，会使 ActiveMQ 面临以下攻击：https://docs.oracle.com/javase/8/docs/technotes/guides/management/agent.html “远程客户端可以创建一个 javax.management.loading.MLet MBean，并利用它从任意 URL 创建新的 MBean，至少在没有安全管理器的情况下是如此。换句话说，恶意的远程客户端可以让您的 Java 应用程序执行任意代码。”缓解措施：升级到 Apache ActiveMQ 5.15.13

• apache__activemq_CVE-2020-11998_5-15-12漏洞利用

  针对Apache ActiveMQ 5.15.12的CVE-2020-11998漏洞利用，通过向易受攻击的消息代理发送精心构造的消息实现远程代码执行。