CVE-2023-46604

Exécution de code à distance dans Apache ActiveMQ via le protocole OpenWire

Une vulnérabilité critique (CVE-2023-46604) a été identifiée dans Apache ActiveMQ, permettant l’exécution de code à distance.

Points clés :

• Nature de la vulnérabilité : Exécution de code à distance (RCE).
• Composant affecté : Le marshaller du protocole Java OpenWire.
• Impact : Un attaquant distant disposant d’un accès réseau à un broker ou client ActiveMQ basé sur Java peut exploiter cette faille.

Vulnérabilité :

• CVE : CVE-2023-46604
• Mécanisme : La vulnérabilité permet à un attaquant de manipuler les types de classes sérialisés dans le protocole OpenWire. Ceci peut amener le broker ou le client à instancier n’importe quelle classe présente dans le classpath, ouvrant la voie à l’exécution de commandes shell arbitraires.

Recommandations :

Il est fortement recommandé de mettre à jour les brokers et les clients Apache ActiveMQ vers les versions suivantes :

• 5.15.16
• 5.16.7
• 5.17.6
• 5.18.3

Source