Java Message Serviceを中心に構築されたメッセージブローカーであるactivemqで、複数のセキュリティの問題が発見されました。

CVE-2017-15709

activemqでOpenWireプロトコルを使用する際に、特定のシステムの詳細（OSやカーネルバージョンなど）がテキスト形式で公開されることがわかりました。

CVE-2018-11775

Apache ActiveMQ Client使用時に、TLSホスト名検証が欠落していました。これにより、ActiveMQクライアントを使用するJavaアプリケーションとActiveMQサーバーの間で、クライアントがMITM攻撃に脆弱になる可能性があります。これはデフォルトでは現在有効になっています。

CVE-2019-0222

破損したMQTTフレームのマーシャリングを解除すると、ブローカのメモリ不足例外が応答不能になる可能性があります。

CVE-2021-26117

オプションのActiveMQ LDAPログインモジュールは、LDAPサーバーへの匿名アクセスを使用するように構成できます。匿名のコンテキストは、誤って有効なユーザーパスワードの検証に使用されるため、パスワードがチェックされません。

Debian 9 'Stretch'では、これらの問題はバージョン5.14.3-3+deb9u2で修正されています。

お使いのactivemqパッケージをアップグレードすることを推奨します。

activemqの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/activemq

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-2583-1：activemqのセキュリティ更新

high Nessus プラグイン ID 147182

バージョン 1.3