Erforderliche JMS-Verbindungsfactorys [Neu in Security Center 1.3 und aktualisiert in 1.5 und 2.0]

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 1 Minute Lesedauer

    • Die Eigenschaft mid.property.jms.command.allowed_factory_names steuert die Verbindungsfactorys des Java Messaging Service (JMS), die der MID Server verwenden kann.

    Es ist für einige ausgewählte Factorys vorgesehen, die von Plugins für JMS-Aktivitäten oder -Aktionen benötigt werden. Das Einbeziehen zusätzlicher Hersteller könnte ein Schritt in einer Angriffskette für Schwachstellen wie die JDNI-Einfügung sein, die auf Fähigkeiten beruhen, die ein Angreifer in zulässigen Herstellern nutzen kann. Um die Möglichkeit einer ausgenutzten Schwachstelle zu verhindern, fügen Sie keine Factory-Modelle hinzu, die über die erforderlichen Standardwerte hinausgehen.

    Um dieses Sicherheitsrisiko zu beheben, überprüfen Sie die Liste der Namen, die für die MID-Eigenschaft mid.property.jms.command.allowed_factory_namesangegeben wurden. Stellen Sie sicher, dass zusätzliche Java-Factory-Namen erforderlich sind, die über den Standardwert von connectionFactory, queueConnectionFactory und topicConnectionFactory hinausgehen.

    Weitere Informationen

    Attribut Beschreibung
    Konfigurationsname mid.property.jms.command.allowed_factory_names
    Konfigurationstyp Systemeigenschaften (/sys_properties_list.do)
    Datentyp Zeichenfolge
    Standardwert connectionFactory, queueConnectionFactory, topicConnectionFactory
    Empfohlener Wert connectionFactory, queueConnectionFactory, topicConnectionFactory
    Kategorie Zugriffssteuerung
    Sicherheitsrisiko
    • Schweregrad-Punktzahl: 4.1
    • CVSS-Punktzahl: Mittel
    • Details zu Sicherheitsrisiken: Wenn das Plugin „MID-Server“ (com.glideapp.agent) aktiv ist, überprüfen Sie die Liste der Namen, die für die MID-Eigenschaft mid.property.jms.command.allowed_factory_namesangegeben wurden. Stellen Sie sicher, dass zusätzliche Factory-Namen erforderlich sind, die über den Standardwert von connectionFactory, queueConnectionFactory und topicConnectionFactory hinausgehen.
    Abhängigkeiten und Voraussetzungen Keine