Apache ActiveMQ NMS AMQP客户端反序列化漏洞分析

漏洞概述

Apache ActiveMQ NMS AMQP客户端存在反序列化不可信数据漏洞（CVE-2025-54539），该漏洞被评定为严重级别，CVSS评分为9.8分。

影响范围

受影响版本：所有Apache ActiveMQ NMS AMQP版本，包括2.3.0及更早版本

已修复版本：2.4.0

漏洞详情

当客户端与不可信的AMQP服务器建立连接时，恶意服务器可利用客户端中存在的无限制反序列化逻辑，精心构造响应数据，可能导致在客户端侧执行任意代码。

虽然2.1.0版本引入了通过允许/拒绝列表来限制反序列化的机制，但在某些条件下发现该保护措施可被绕过。

技术背景

根据微软在.NET 9中弃用二进制序列化的决定，该项目正在评估在未来版本中完全从NMS API移除.NET二进制序列化支持。

缓解措施与建议

• 立即升级：强烈建议用户升级到2.4.0或更高版本，该版本已修复此问题
• 长期加固：依赖NMS-AMQP的项目应迁移远离.NET二进制序列化，作为长期加固策略的一部分

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-54539
• https://lists.apache.org/thread/9k684j07ljrshy3hxwhj5m0xjmkz1g2n

技术指标

CVSS v3.1基础指标：

• 攻击向量：网络（AV:N）
• 攻击复杂度：低（AC:L）
• 所需权限：无（PR:N）
• 用户交互：无（UI:N）
• 影响范围：未改变（S:U）
• 机密性影响：高（C:H）
• 完整性影响：高（I:H）
• 可用性影响：高（A:H）

弱点类型：CWE-502 - 不可信数据反序列化