ActiveMQ

Die Schwachstelle betrifft Apache ActiveMQ, eine weit verbreitete Nachrichten-Middleware (Message Broker), über die Anwendungen Daten austauschen. Der Fehler steckt im Marshaller des Java-basierten OpenWire-Protokolls und beruht auf der unsicheren Deserialisierung nicht vertrauenswürdiger Daten. Ein Angreifer mit Netzwerkzugriff auf einen OpenWire-Broker – oder umgekehrt auf einen Client – kann die im Protokoll übertragenen serialisierten Klassentypen manipulieren. Dadurch lässt sich der Broker beziehungsweise der Client dazu bringen, eine beliebige im Klassenpfad vorhandene Klasse zu instanziieren. Im Ergebnis kann der Angreifer aus der Ferne eigene Shell-Befehle ausführen und so Schadcode auf dem System einschleusen. Da der Angriff allein über die Netzwerkverbindung zum OpenWire-Endpunkt möglich ist, sind alle exponierten Broker und Clients gefährdet, die dieses Protokoll verwenden – mit dem Risiko einer vollständigen Übernahme des betroffenen Dienstes.