BDU:2023-07372

Опубликовано: 27 окт. 2023

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Критический

Описание

Уязвимость программной платформы Apache ActiveMQ связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код, путём создания класса по протоколу OpenWire

Вендор

ООО «Ред Софт»

Apache Software Foundation

АО «ФЦНИВТ СНПО «Элерон»

Наименование ПО

РЕД ОС

ActiveMQ

СПО «Тобол-ИПК»

Версия ПО

7.3 (РЕД ОС)

от 5.18.0 до 5.18.3 (ActiveMQ)

от 5.17.0 до 5.17.6 (ActiveMQ)

от 5.16.0 до 5.16.7 (ActiveMQ)

до 5.15.16 (ActiveMQ)

ЦКДИ.00621-01 (СПО «Тобол-ИПК»)

Тип ПО

Операционная система

Сетевое программное средство

ПО программно-аппаратного средства

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;

- ограничение возможности подключения к программной платформе путем внедрения механизма «белых» списков;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt

Использование рекомендаций производителя АО «ФЦНИВТ «СНПО «Элерон»:

- обращение к разработчику для получения пакета обновления, которое необходимо применить на всех серверах и автоматизированных рабочих местах автоматизированной системы физической защиты, на которых установлено СПО «Тобол-ИПК» ЦКДИ.00621-01.

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-apache-activemq-cve-2023-46604/?sphrase_id=1338651

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-46604
CVE

EPSS

Процентиль: 100%

0.94436

Критический

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20251031-03

CVSS3: 10

redos

около 1 месяца назад

Уязвимость apache-activemq

CVE-2023-46604

CVSS3: 10

ubuntu

около 2 лет назад

The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution. This vulnerability may allow a remote attacker with network access to either a Java-based OpenWire broker or client to run arbitrary shell commands by manipulating serialized class types in the OpenWire protocol to cause either the client or the broker (respectively) to instantiate any class on the classpath. Users are recommended to upgrade both brokers and clients to version 5.15.16, 5.16.7, 5.17.6, or 5.18.3 which fixes this issue.

CVE-2023-46604

CVSS3: 9.8

redhat

около 2 лет назад

CVE-2023-46604

CVSS3: 10

nvd

около 2 лет назад

CVE-2023-46604

CVSS3: 10

debian

около 2 лет назад

The Java OpenWire protocol marshaller is vulnerable to Remote Code Ex ...

EPSS

Процентиль: 100%

0.94436

Критический

10 Critical

CVSS3

10 Critical

CVSS2