近日，国家信息安全漏洞库（CNNVD）收到关于Apache ActiveMQ 代码问题漏洞（CNNVD-202311-2165、CVE-2022-41678）情况的报送。成功利用漏洞的攻击者，可在目标服务器上执行任意代码，获取服务器的控制权限。Apache ActiveMQ 5.16.6之前版本，5.17.4之前版本至5.17.0之后版本均受此漏洞影响。目前，Apache官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。

一、漏洞介绍

Apache ActiveMQ是美国阿帕奇（Apache）基金会的一套开源的消息中间件，它支持Java消息服务、集群、Spring Framework等。Apache ActiveMQ存在代码问题漏洞，该漏洞允许经过身份验证的攻击者通过/api/jolokia/接口来操作MBean接口，实现任意代码执行，并最终控制目标服务器。

二、危害影响

成功利用漏洞的攻击者，可在目标服务器上执行任意代码，获取服务器的控制权限。Apache ActiveMQ 5.16.6之前版本，5.17.4之前版本至5.17.0之后版本均受此漏洞影响。

三、修复建议

目前，Apache官方已发布新版本修复了该漏洞，建议用户及时确认产品版本，尽快采取修补措施。官方参考链接：

https://activemq.apache.org/

本通报由CNNVD技术支撑单位——奇安信网神信息技术（北京）股份有限公司、北京奇虎科技有限公司、华为技术有限公司、北京天融信网络安全技术有限公司、北京神州绿盟科技有限公司、新华三技术有限公司、上海斗象信息科技有限公司、北京山石网科信息技术有限公司、网宿科技股份有限公司、山东泽鹿安全技术有限公司、博智安全科技股份有限公司、内蒙古旌云科技有限公司、深圳昂楷科技有限公司、西安交大捷普网络科技有限公司、湖北肆安科技有限公司、北京中睿天下信息技术有限公司、任子行网络技术股份有限公司等技术支撑单位提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。联系方式:

cnnvdvul@itsec.gov.cn