CVE-2025-29953
Açıklama
Apache ActiveMQ NMS OpenWire Client'ta Güvenilmeyen Verilerin Deserialization'ı zafiyeti. Bu sorun, güvenilmeyen sunuculara bağlantı gerçekleştirirken 2.1.1 öncesindeki Apache ActiveMQ NMS OpenWire Client sürümlerini etkilemektedir. Bu tür sunucular, istemcideki sınırsız deserialization özelliğini kötüye kullanarak, sonuç olarak istemci üzerinde rastgele kod çalıştırılmasına neden olabilecek kötü niyetli yanıtlar sağlayabilir. 2.1.0 sürümü, deserialization işlemini kısıtlamak için bir izin verilenler/engellenenler listesi özelliği getirmiştir ancak bu özellik atlatılabilir. .NET ekibi, .NET 9 ile birlikte yerleşik .NET ikili serileştirme (binary serialization) özelliğini kullanımdan kaldırmış ve ikili serileştirmeden uzaklaşılmasını önermiştir. Proje, buna benzer şekilde hareket etmeyi ve NMS API'sinin bu kısmını tamamen kaldırmayı değerlendirmektedir. Kullanıcıların sorunu gideren 2.1.1 sürümüne yükseltmeleri önerilir. Ayrıca geleceğe yönelik bir sıkılaştırma yöntemi olarak .NET ikili serileştirmeye güvenmekten vazgeçilmesi tavsiye edilir.
Nasıl düzeltilir
- apache activemq_nms_openwire2.1.1 ya da sonraki bir sürüm
- Apache.NMS.ActiveMQ2.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache activemq_nms_openwire | v < 2.1.1 | 2.1.1 |
| Apache.NMS.ActiveMQNuGet | v < 2.1.1 | 2.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.