安全公告

网络安全预警通报

2023年第10期

网络与计算中心 2023年11月30日

【预警类型】

高危预警

【预警内容】

关于Apache ActiveMQ jolokia代码执行漏洞的预警通报

一、 漏洞概述

Apache ActiveMQ是一个开源消息代理软件，是Apache软件基金会的顶级项目之一。它主要用于在分布式系统中传递消息，提供了完整的JMS规范实现。

二、漏洞详情

（一）Apache ActiveMQ官方发布公告，披露CVE-2022-41678 Apache ActiveMQ jolokia代码执行漏洞。

攻击者在通过ActiveMQ Web控制台认证后，可构造请求写入webshell，执行任意代码，控制服务器。

官方已发布安全更新以及缓解措施，建议相关用户尽快采取措施。

漏洞影响范围：

（一）CVE-2022-41678

1、Apache ActiveMQ 5.16.6

2、Apache ActiveMQ 5.17.4

3、Apache ActiveMQ 5.18.0

4、Apache ActiveMQ 6.0.0

三、处置建议

为确保重要网络系统安全，防止发生重大网络安全事件，请校区各单位在确保安全的前提下升级版本：

1、升级至安全版本及其以上，修改默认口令；

2、利用安全组设置Apache ActiveMQ web控制台仅对可信地址开放。

内容 | 李昌  

编辑 | 王彬  

审核 | 陈兰