CVE-2023-46604
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 99.7%
- CWE
- CWE-502
- KEV Durumu
- Evet
Yayım tarihi: 27 Ekim 2023 · CISA KEV son iyileştirme tarihi: 23 Kasım 2023
Etkilenen: apache activemq
Java OpenWire protokolü marshaller'ı Uzaktan Kod Yürütme'ye karşı savunmasızdır. Bu zafiyet, ağ erişimi olan bir uzak saldırganın, OpenWire protokolünde seri hale getirilmiş sınıf türlerini manipüle ederek, ya istemci ya da aracı sunucu (sırasıyla) sınıf yolundaki herhangi bir sınıfı örneklemesine neden olarak, keyfi kabuk komutları çalıştırmasına izin verebilir. Kullanıcıların bu sorunu çözen 5.15.16, 5.16.7, 5.17.6 veya 5.18.3 sürümlerine hem aracı sunucuları hem de istemcileri yükseltmeleri önerilir.
Orijinal açıklama (İngilizce)
The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution. This vulnerability may allow a remote attacker with network access to either a Java-based OpenWire broker or client to run arbitrary shell commands by manipulating serialized class types in the OpenWire protocol to cause either the client or the broker (respectively) to instantiate any class on the classpath. Users are recommended to upgrade both brokers and clients to version 5.15.16, 5.16.7, 5.17.6, or 5.18.3 which fixes this issue.
Referanslar
- http://seclists.org/fulldisclosure/2024/Apr/18
- https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
- https://lists.debian.org/debian-lts-announce/2023/11/msg00013.html
- https://packetstormsecurity.com/files/175676/Apache-ActiveMQ-Unauthenticated-Remote-Code-Execution.html
- https://security.netapp.com/advisory/ntap-20231110-0010/
- https://www.openwall.com/lists/oss-security/2023/10/27/5
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.