CVE-2023-46604

Adatlap

CVE: CVE-2023-46604
EUVD: EUVD-2023-2719
GHSA: GHSA-crg9-44h2-xw35
Eszköztípus: IT
Publikálva: 2023. 10. 27. 16:59
Frissítve: 2025. 11. 03. 22:50
Súlyosság: Kritikus
Prioritás: Riasztás
CWE: CWE-502

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	10,0	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

The Java OpenWire protocol marshaller is vulnerable to Remote Code
Execution. This vulnerability may allow a remote attacker with network
access to either a Java-based OpenWire broker or client to run arbitrary
shell commands by manipulating serialized class types in the OpenWire
protocol to cause either the client or the broker (respectively) to
instantiate any class on the classpath.

Users are recommended to upgrade
both brokers and clients to version 5.15.16, 5.16.7, 5.17.6, or 5.18.3
which fixes this issue.

Érintett termékek

Apache ActiveMQ Apache Software Foundation Verziók: 5.18.0 – < 5.18.3; 5.17.0 – < 5.17.6; 5.16.0 – < 5.16.7; 0 – < 5.15.16
Apache ActiveMQ Legacy OpenWire Module Apache Software Foundation Verziók: 5.18.0 – < 5.18.3; 5.17.0 – < 5.17.6; 5.16.0 – < 5.16.7; 5.8.0 – < 5.15.16

Prioritás

Szint: Riasztás
Teendő: Azonnali intézkedés javasolt: a szoftvert 24 órán belül frissítse. Ha a frissítés nem telepíthető azonnal, alkalmazza a gyártó által javasolt kerülő megoldást, és a javításig fokozottan figyelje a sérülékenység kihasználására irányuló kísérleteket.

Kihasználási státusz

EPSS: 99,99%
Kihasználtság: Aktív
Kihasználás óta: 2023. 11. 02.
Automatizálhatóság: Igen
Technikai hatás: Teljes

Javítás

Javított verzió: 5.18.3, 5.17.6, 5.16.7, 5.15.16
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között