🇰🇷 한글 설명
Apache ActiveMQ NMS AMQP 클라이언트에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 악의적인 AMQP 서버를 통해 조작된 응답을 보내면 클라이언트 측에서 임의의 코드가 실행될 수 있습니다. 기존의 허용/차단 목록 기반 보호 조치도 특정 조건에서 우회될 수 있음이 확인되었습니다.
💡 쉬운 설명
신뢰할 수 없는 서버에 연결할 때, 서버가 보내는 가짜 데이터를 프로그램이 잘못 읽어 들여 해커가 내 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 이를 막기 위해 안전한 최신 버전으로 업데이트가 필요합니다.
🇺🇸 원문 (English)
A Deserialization of Untrusted Data vulnerability exists in the Apache ActiveMQ NMS AMQP Client.
This issue affects all versions of Apache ActiveMQ NMS AMQP up to and including 2.3.0, when establishing connections to untrusted AMQP servers. Malicious servers could exploit unbounded deserialization logic present in the client to craft responses that may lead to arbitrary code execution on the client side.
Although version 2.1.0 introduced a mechanism to restrict deserialization via allow/deny lists, the protection was found to be bypassable under certain conditions.
In line with Microsoft’s deprecation of binary serialization in .NET 9, the project is evaluating the removal of .NET binary serialization support from the NMS API entirely in future releases.
Mitigation and Recommendations:
Users are strongly encouraged to upgrade to version 2.4.0 or later, which resolves the issue. Additionally, projects depending on NMS-AMQP should migrate away from .NET binary serialization as part of a long-term hardening strategy.
📍 영향받는 시스템
Apache ActiveMQ NMS AMQP 2.3.0 및 그 이전의 모든 버전
⚔️ 공격 벡터
악의적인 AMQP 서버가 클라이언트에 조작된 역직렬화 데이터를 전송하여 공격 수행
🛡️ 대응 방법
Apache ActiveMQ NMS AMQP 버전을 2.4.0 이상으로 업그레이드하고 .NET 이진 직렬화 사용을 지양함
🔧 검증 코드
출력된 NMS.AMQP의 버전이 2.4.0 미만인 경우 취약한 상태임
dotnet list package | grep -i 'NMS.AMQP'