Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-06024

Опубликовано: 07 мая 2025
Источник: fstec
CVSS3: 6.8
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость обработчика команд OpenWire программной платформы Apache ActiveMQ связана с отсутствием контроля вводимых пользователем данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путём отправки специально сформированных пакетов

Вендор

ООО «Ред Софт»
Apache Software Foundation

Наименование ПО

РЕД ОС
Apache ActiveMQ

Версия ПО

7.3 (РЕД ОС)
от 6.0.0 до 6.1.6 (Apache ActiveMQ)
от 5.18.0 до 5.18.7 (Apache ActiveMQ)
от 5.17.0 до 5.17.7 (Apache ActiveMQ)
от 5.16.0 до 5.16.8 (Apache ActiveMQ)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование взаимного TLS соединения для предотвращения попыток эксплуатации уязвимости;
- отключение/удаление неиспользуемых учётных записей пользователей;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к платформе;
- ограничение возможности подключения к программной платформе путем внедрения механизма «белых» списков;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
Для Apache ActiveMQ:
https://lists.apache.org/thread/8hcm25vf7mchg4zbbhnlx2lc5bs705hg
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 64%
0.00489
Низкий

6.8 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.8
redos
2 месяца назад

Уязвимость apache-activemq

CVSS3: 7.5
ubuntu
4 месяца назад

Memory Allocation with Excessive Size Value vulnerability in Apache ActiveMQ. During unmarshalling of OpenWire commands the size value of buffers was not properly validated which could lead to excessive memory allocation and be exploited to cause a denial of service (DoS) by depleting process memory, thereby affecting applications and services that rely on the availability of the ActiveMQ broker when not using mutual TLS connections. This issue affects Apache ActiveMQ: from 6.0.0 before 6.1.6, from 5.18.0 before 5.18.7, from 5.17.0 before 5.17.7, before 5.16.8. ActiveMQ 5.19.0 is not affected. Users are recommended to upgrade to version 6.1.6+, 5.19.0+, 5.18.7+, 5.17.7, or 5.16.8 or which fixes the issue. Existing users may implement mutual TLS to mitigate the risk on affected brokers.

CVSS3: 4.9
redhat
4 месяца назад

Memory Allocation with Excessive Size Value vulnerability in Apache ActiveMQ. During unmarshalling of OpenWire commands the size value of buffers was not properly validated which could lead to excessive memory allocation and be exploited to cause a denial of service (DoS) by depleting process memory, thereby affecting applications and services that rely on the availability of the ActiveMQ broker when not using mutual TLS connections. This issue affects Apache ActiveMQ: from 6.0.0 before 6.1.6, from 5.18.0 before 5.18.7, from 5.17.0 before 5.17.7, before 5.16.8. ActiveMQ 5.19.0 is not affected. Users are recommended to upgrade to version 6.1.6+, 5.19.0+, 5.18.7+, 5.17.7, or 5.16.8 or which fixes the issue. Existing users may implement mutual TLS to mitigate the risk on affected brokers.

CVSS3: 7.5
nvd
4 месяца назад

Memory Allocation with Excessive Size Value vulnerability in Apache ActiveMQ. During unmarshalling of OpenWire commands the size value of buffers was not properly validated which could lead to excessive memory allocation and be exploited to cause a denial of service (DoS) by depleting process memory, thereby affecting applications and services that rely on the availability of the ActiveMQ broker when not using mutual TLS connections. This issue affects Apache ActiveMQ: from 6.0.0 before 6.1.6, from 5.18.0 before 5.18.7, from 5.17.0 before 5.17.7, before 5.16.8. ActiveMQ 5.19.0 is not affected. Users are recommended to upgrade to version 6.1.6+, 5.19.0+, 5.18.7+, 5.17.7, or 5.16.8 or which fixes the issue. Existing users may implement mutual TLS to mitigate the risk on affected brokers.

CVSS3: 7.5
debian
4 месяца назад

Memory Allocation with Excessive Size Value vulnerability in Apache Ac ...

EPSS

Процентиль: 64%
0.00489
Низкий

6.8 Medium

CVSS3

6.8 Medium

CVSS2