CVE-2026-22886
KrytyczneStreszczenie
OpenMQ udostępnia oparty na TCP serwis zarządzania (imqbrokerd), który domyślnie wymaga uwierzytelnienia. Produkt dostarczany jest z domyślnym kontem administracyjnym (admin/admin) i nie wymusza obowiązkowej zmiany hasła przy pierwszym użyciu.
Ocena ryzyka
W rzeczywistych wdrożeniach serwis ten często pozostaje włączony bez zmiany domyślnych danych logowania. W rezultacie zdalny atakujący z dostępem do portu serwisu może uwierzytelnić się jako administrator i uzyskać pełną kontrolę nad funkcjami administracyjnymi protokołu.
Rekomendacja
Zaleca się natychmiastową zmianę domyślnych danych logowania oraz wyłączenie serwisu, jeśli nie jest on potrzebny. Należy również wprowadzić politykę wymuszającą zmianę hasła przy pierwszym logowaniu.
Oryginalny opis (angielski, źródło NVD)
OpenMQ exposes a TCP-based management service (imqbrokerd) that by default requires authentication. However, the product ships with a default administrative account (admin/ admin) and does not enforce a mandatory password change on first use. After the first successful login, the server continues to accept the default password indefinitely without warning or enforcement. In real-world deployments, this service is often left enabled without changing the default credentials. As a result, a remote attacker with access to the service port could authenticate as an administrator and gain full control of the protocol’s administrative features.