🇰🇷 한글 설명
Apache ActiveMQ의 LDAP 로그인 모듈이 익명 접근을 허용하도록 설정된 경우, 비밀번호 검증 과정에서 오류가 발생하여 비밀번호 확인 없이 로그인이 허용되는 취약점입니다. 이로 인해 인증을 우회하여 시스템에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
로그인할 때 비밀번호를 확인해야 하는데, 설정 실수로 인해 비밀번호를 아예 검사하지 않고 통과시켜 버리는 보안 구멍이 발견되었습니다. 공격자는 비밀번호를 몰라도 아이디만 알면 시스템에 들어올 수 있습니다.
🇺🇸 원문 (English)
The optional ActiveMQ LDAP login module can be configured to use anonymous access to the LDAP server. In this case, for Apache ActiveMQ Artemis prior to version 2.16.0 and Apache ActiveMQ prior to versions 5.16.1 and 5.15.14, the anonymous context is used to verify a valid users password in error, resulting in no check on the password.
📍 영향받는 시스템
Apache ActiveMQ Artemis < 2.16.0, Apache ActiveMQ < 5.16.1 및 5.15.14
⚔️ 공격 벡터
LDAP 익명 접근이 허용된 환경에서 인증 우회 공격을 통해 접근
🛡️ 대응 방법
ActiveMQ를 최신 보안 패치 버전(Artemis 2.16.0 이상, ActiveMQ 5.16.1 또는 5.15.14 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전 범위에 포함되는지 확인하십시오.
echo 'VERSION_HERE' | grep -E '2\.(1[6-9]|[2-9][0-9])|5\.(16\.[1-9]|15\.(1[4-9]|[2-9][0-9]))'