🇰🇷 한글 설명
Apache ActiveMQ의 OpenWire 메시지 처리 과정에서 맵(map)의 인코딩된 크기 값에 대한 검증이 누락되어 발생하는 메모리 할당 취약점입니다. 인증된 사용자가 조작된 메시지를 전송할 경우 과도한 메모리 할당을 유도하여 브로커를 중단시키는 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
해커가 아주 큰 숫자가 적힌 가짜 메시지를 보내면, 프로그램이 이를 처리하려다 메모리를 너무 많이 써서 컴퓨터가 멈춰버리는 문제입니다. 이로 인해 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Memory Allocation with Excessive Size Value vulnerability in Apache ActiveMQ, Apache ActiveMQ All, Apache ActiveMQ Client, Apache ActiveMQ Broker.
An authenticated user can cause a broker DoS by sending a crafted OpenWire Message with a large encoded size value for the map. OpenWire message property maps are unmarshaled without size validation which can trigger OOM and crash the broker.
This issue affects Apache ActiveMQ: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ All: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ Client: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ Broker: before 5.19.8, from 6.0.0 before 6.2.7.
Users are recommended to upgrade to version 6.2.7 or 5.19.8, which fixes the issue.
📍 영향받는 시스템
Apache ActiveMQ (All, Client, Broker 포함) 5.19.8 미만 버전 및 6.0.0 ~ 6.2.7 미만 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 크기 값이 포함된 OpenWire 메시지를 전송하여 메모리 부족(OOM) 유발
🛡️ 대응 방법
Apache ActiveMQ를 5.19.8 또는 6.2.7 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 5.19.8 미만이거나 6.0.0 이상 6.2.7 미만인지 확인하십시오.
activemq --version 2>/dev/null || echo 'Check installed ActiveMQ version manually'