阿里云漏洞库

该漏洞EXP已公开传播，漏洞利用成本极低，建议您立即关注并修复。

漏洞描述

Apache ActiveMQ默认消息队列61616端口对外，61616端口使用了OpenWire协议，这个端口会暴露服务器相关信息，这些相关信息实际上是debug信息。

会返回应用名称，JVM，操作系统以及内核版本等信息。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
http://activemq.apache.org/security-advisories.data/CVE-2017-15709-announcement.txt?version=2&modificationDate=1518522887000&api=v2

参考链接
https://lists.apache.org/thread.html/03f91b1fb85686a848cee6b90112cf6059bd1b21...
https://lists.apache.org/thread.html/2b5c0039197a4949f29e1e2c9441ab38d242946b...
https://lists.apache.org/thread.html/2b6f04a552c6ec2de6563c2df3bba813f0fe9c7e...
https://lists.apache.org/thread.html/3f1e41bc9153936e065ca3094bd89ff8167ad2d3...
https://lists.apache.org/thread.html/a859563f05fbe7c31916b3178c2697165bd9bbf5...
https://lists.apache.org/thread.html/c0ec53b72b3240b187afb1cf67e4309a9e5f6072...
https://lists.apache.org/thread.html/fcbe6ad00f1de142148c20d813fae3765dc42749...
https://lists.debian.org/debian-lts-announce/2021/03/msg00005.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	apache	activemq	*	From (including) 5.14.0	Up to (including) 5.15.2
	运行在以下环境
	系统	debian_9	activemq	*		Up to (excluding) 5.14.3-3+deb9u2
	运行在以下环境
	系统	ubuntu_18.04.5_lts	activemq	*		Up to (excluding) 5.15.3-2
	运行在以下环境
	系统	ubuntu_18.10	activemq	*		Up to (excluding) 5.15.3-2

攻击路径

远程
攻击复杂度

容易
权限要求

无需权限
影响范围

全局影响
EXP成熟度

EXP 已公开
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-200	信息暴露

高危 Apache ActiveMQ存在信息泄露漏洞

漏洞描述

解决建议

参考链接

受影响软件情况