CVE-2026-22886

Eclipse OpenMQ — domyślne dane logowania umożliwiają przejęcie kontroli

CVSS 9.8v3.1pub. 2026-03-03upd. 2026-04-09

Eclipse OpenMQ dostarcza usługę zarządzania (imqbrokerd) z domyślnym kontem administratora (admin/admin), którego zmiana hasła nie jest wymuszana. Zdalny atakujący bez żadnego uwierzytelnienia własnego może zalogować się przy użyciu domyślnych danych i przejąć pełną kontrolę administracyjną nad brokerem.

▸ Pokaż oryginał (EN)

OpenMQ exposes a TCP-based management service (imqbrokerd) that by default requires authentication. However, the product ships with a default administrative account (admin/ admin) and does not enforce a mandatory password change on first use. After the first successful login, the server continues to accept the default password indefinitely without warning or enforcement. In real-world deployments, this service is often left enabled without changing the default credentials. As a result, a remote attacker with access to the service port could authenticate as an administrator and gain full control of the protocol’s administrative features.

🤖 Analiza AI

Jak działa

Usługa zarządzania oparta na protokole TCP (imqbrokerd) jest domyślnie włączona i wymaga uwierzytelnienia, jednak produkt jest dostarczany z predefiniowanym kontem administratora o danych admin/admin. System nie wymusza zmiany hasła przy pierwszym logowaniu ani w żadnym późniejszym momencie. Po pierwszym udanym logowaniu serwer akceptuje domyślne hasło bezterminowo, bez ostrzeżeń ani mechanizmów wymuszających jego zmianę. W praktycznych wdrożeniach usługa ta jest często pozostawiana włączona bez modyfikacji domyślnych danych uwierzytelniających.

Skutki

Atakujący z dostępem sieciowym do portu usługi może uwierzytelnić się jako administrator i uzyskać pełną kontrolę nad funkcjami administracyjnymi brokera OpenMQ, co może prowadzić do naruszenia poufności, integralności oraz dostępności systemu.

Mitygacja

Należy natychmiast zmienić domyślne hasło konta administratora (admin/admin) na silne, unikalne hasło. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do portu usługi imqbrokerd wyłącznie do zaufanych hostów za pomocą firewall oraz przeprowadzenie audytu wszystkich wdrożeń pod kątem użycia domyślnych danych logowania.

Kogo dotyczy

Eclipse OpenMQ — wersje wskazane w referencjach producenta

Uwagi

Podatność opiera się na trzech powiązanych słabościach: CWE-1391 (użycie słabych danych uwierzytelniających), CWE-1392 (użycie domyślnych danych uwierzytelniających) oraz CWE-1393 (użycie domyślnego hasła). Zgłoszenie zarejestrowano pod adresem: https://gitlab.eclipse.org/security/cve-assignment/-/issues/85.