リモートホストで実行中の Apache ActiveMQ のバージョンは、5.13.2 より前の 5.x です。したがって、以下の複数の脆弱性による影響を受けます。

  - HTTP レスポンスに X-Frame-Options ヘッダーが設定されないため、Web ベースの管理コンソールにクリックジャッキングの脆弱性が存在します。リモートの攻撃者がこれを悪用し、ユーザーを騙して管理者タスクを実行させる可能性があります。(CVE-2016-0734)

  - ユーザー指定の入力が適切に検証されないため、Web ベースの管理コンソールに、複数のクロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを通じて、これらを悪用して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。(CVE-2016-0782)

注意：X-Frame-Options ヘッダーを静的コンテンツではなくサーブレットと JSP に設定することで、CVE-2016-0734 が 5.11.4 と 5.12.3 で部分的に修正されました。これにより、これらのバージョンの修正が不完全なため、ユーザーは 5.13.2 以降にアップグレードすることを推奨します。

検出

Apache ActiveMQ 5.x < 5.13.2 における複数の脆弱性

medium Nessus プラグイン ID 90025

バージョン 1.13