CVE-2021-26117
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Moduł logowania LDAP w ActiveMQ może być skonfigurowany do używania anonimowego dostępu do serwera LDAP. W przypadku Apache ActiveMQ Artemis przed wersją 2.16.0 oraz Apache ActiveMQ przed wersjami 5.16.1 i 5.15.14, kontekst anonimowy jest używany do weryfikacji hasła użytkownika, co skutkuje brakiem sprawdzenia hasła.
Ocena ryzyka
Brak weryfikacji hasła użytkownika może prowadzić do nieautoryzowanego dostępu do systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszych wersji Apache ActiveMQ Artemis oraz Apache ActiveMQ, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The optional ActiveMQ LDAP login module can be configured to use anonymous access to the LDAP server. In this case, for Apache ActiveMQ Artemis prior to version 2.16.0 and Apache ActiveMQ prior to versions 5.16.1 and 5.15.14, the anonymous context is used to verify a valid users password in error, resulting in no check on the password.