FICHE CVE

CVE-2016-4978

Publiée le 2016-09-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les courtiers Apache ActiveMQ Artemis (versions antérieures à 1.4.0) sont vulnérables à l'exécution de code à distance via la désérialisation d'objets malveillants. Un attaquant disposant d'identifiants valides avec des privilèges élevés peut envoyer un message spécialement conçu au courtier pour exécuter des commandes arbitraires sur le serveur. Cette attaque peut être réalisée via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant dispose déjà de l'authentification nécessaire.

CVSS 3.17.2 ÉLEVÉE

Type de faiblesse

Désérialisation non sûre · CWE-502

Publiée2016-09-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisÉlevés

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The getObject method of the javax.jms.ObjectMessage class in the (1) JMS Core client, (2) Artemis broker, and (3) Artemis REST component in Apache ActiveMQ Artemis before 1.4.0 might allow remote authenticated users with permission to send messages to the Artemis broker to deserialize arbitrary objects and execute arbitrary code by leveraging gadget classes being present on the Artemis classpath.