FICHE CVE

CVE-2020-13931

Publiée le 2020-12-18 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs Apache TomEE utilisant un courtier ActiveMQ intégré sont affectés s'ils sont mal configurés et exposent un port JMX non authentifié (généralement le port TCP 1099). Un attaquant ayant un accès réseau à ce port peut exécuter à distance du code arbitraire sur le serveur pour prendre le contrôle total du système. Cette exploitation est simple à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et aucun accès préalable au serveur.

CVSS 3.19.8 CRITIQUE

Publiée2020-12-18

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

If Apache TomEE 8.0.0-M1 - 8.0.3, 7.1.0 - 7.1.3, 7.0.0-M1 - 7.0.8, 1.0.0 - 1.7.5 is configured to use the embedded ActiveMQ broker, and the broker config is misconfigured, a JMX port is opened on TCP port 1099, which does not include authentication. CVE-2020-11969 previously addressed the creation of the JMX management interface, however the incomplete fix did not cover this edge case.