CVE-2026-22886
CriticalSummary
OpenMQ udostępnia oparty na TCP serwis zarządzania (imqbrokerd), który domyślnie wymaga uwierzytelnienia. Produkt dostarczany jest z domyślnym kontem administracyjnym (admin/admin) i nie wymusza obowiązkowej zmiany hasła przy pierwszym użyciu.
Risk Assessment
W rzeczywistych wdrożeniach serwis ten często pozostaje włączony bez zmiany domyślnych danych logowania. W rezultacie zdalny atakujący z dostępem do portu serwisu może uwierzytelnić się jako administrator i uzyskać pełną kontrolę nad funkcjami administracyjnymi protokołu.
Recommendation
Zaleca się natychmiastową zmianę domyślnych danych logowania oraz wyłączenie serwisu, jeśli nie jest on potrzebny. Należy również wprowadzić politykę wymuszającą zmianę hasła przy pierwszym logowaniu.
Original NVD description (English source)
OpenMQ exposes a TCP-based management service (imqbrokerd) that by default requires authentication. However, the product ships with a default administrative account (admin/ admin) and does not enforce a mandatory password change on first use. After the first successful login, the server continues to accept the default password indefinitely without warning or enforcement. In real-world deployments, this service is often left enabled without changing the default credentials. As a result, a remote attacker with access to the service port could authenticate as an administrator and gain full control of the protocol’s administrative features.