234钱包

近日，，234钱包安全应急响应中心监测到Apache官方颁布安全更新，，修复了ActiveMQ 的一个远程代码执行缝隙CVE-2020-13920。。

该缝隙影响领域广，，请有关用户实时自查并采取防护措施，，预防遭逢损失。。

缝隙描述

Apache ActiveMQ是目前盛行的开源、、多和谈，，基于Java的新闻服务器。。因其速度快、、支持众多跨说话平台和和谈、、企业集成模式易用性高档个性，，被宽泛使用。。

pache ActiveMQ使用LocateRegistry.createRegistry（）创建JMX RMI注册表并将服务器绑定到“jmxrmi”条款。。但上述这一绑定操作未进行身份验证。。若是攻击者创建了另一台服务器来代理原始服务器并对其进行绑定，，就可能在用户使用时拦截身份认证痛处成为合法用户，，从而进行远程代码执行。。

风险等级

中危

影响版本

Apache ActiveMQ< 5.15.12

修复建议

官方已经颁布安全更新，，建议受影响的用户尽快升级到5.15.13版本

http://activemq.apache.org/activemq-51513-release

参考链接

[1] https://nvd.nist.gov/vuln/detail/CVE-2020-13920

[2] http://activemq.apache.org/

北京234钱包网络技术有限公司

2020/09/15