Отказ в обслуживании из-за уязвимости нехватки памяти в клиенте Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ. Транспорты ActiveMQ NIO SSL неправильно обрабатывают обновления KeyUpdates подтверждения TLSv1.3, инициированные клиентами. Это позволяет клиенту быстро запускать обновления, что приводит к исчерпанию всей памяти брокера в механизме SSL, что приводит к DoS.
Примечание. Версии TLS до TLSv1.3 (например, TLSv1.2) не работают, но не уязвимы для OOM. Предыдущие версии TLS требуют полного повторного согласования, что приводит к зависанию соединения, но не к OOM.
Это также исправлено. Эта проблема затрагивает клиент Apache ActiveMQ: до версии 5.19.4, от версии 6.0.0 до версии 6.2.4; Apache ActiveMQ Broker: до версии 5.19.4, от версии 6.0.0 до версии 6.2.4; Apache ActiveMQ: до версии 5.19.4, от версии 6.0.0 до версии 6.2.4. Пользователям рекомендуется выполнить обновление до версии 6.2.4 или 5.19.5, которая устраняет проблему.
Показать оригинальное описание (EN)
Denial of Service via Out of Memory vulnerability in Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ. ActiveMQ NIO SSL transports do not correctly handle TLSv1.3 handshake KeyUpdates triggered by clients. This makes it possible for a client to rapidly trigger updates which causes the broker to exhaust all its memory in the SSL engine leading to DoS. Note: TLS versions before TLSv1.3 (such as TLSv1.2) are broken but are not vulnerable to OOM. Previous TLS versions require a full handshake renegotiation which causes a connection to hang but not OOM. This is fixed as well. This issue affects Apache ActiveMQ Client: before 5.19.4, from 6.0.0 before 6.2.4; Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.4; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.4. Users are recommended to upgrade to version 6.2.4 or 5.19.5, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1