Một lỗ hổng bảo mật quan trọng (CVE-2025-54539) đã được phát hiện trong thư viện .NET của Apache ActiveMQ, cụ thể là Apache ActiveMQ NMS AMQP Client. Lỗ hổng này xuất phát từ việc deserialization không an toàn, cho phép kẻ tấn công thực thi mã tùy ý từ xa khi kết nối với máy chủ AMQP độc hại.

Lỗ hổng CVE-2025-54539 tồn tại trong thư viện NMS AMQP client được các ứng dụng .NET sử dụng để giao tiếp với các message broker theo giao thức AMQP. Vấn đề phát sinh do logic deserialization không được kiểm soát chặt chẽ.

Khi clieny kết nối với server, nó tiến hành xử lý các đối tượng tuần tự hóa đến mà không có sự xác thực đầy đủ. Điều này tạo cơ hội cho kẻ tấn công, thông qua một máy server AMQP độc hại, tạo ra các phản hồi được chế tạo đặc biệt nhằm khai thác việc khử tuần tự hóa không giới hạn. Hành vi này có thể khiến máy client khởi tạo các đối tượng nguy hiểm hoặc thực thi mã độc.

Mặc dù phiên bản 2.1.0 của thư viện đã giới thiệu cơ chế danh sách cho phép/từ chối để hạn chế các loại đối tượng được phép deserialization, các nhà nghiên cứu đã tìm ra cách vượt qua những hạn chế này trong các điều kiện cụ thể. Do đó, bất kỳ ứng dụng nào sử dụng NMS AMQP client, bao gồm cả version 2.3.0 trở về trước, đều nằm trong vùng rủi ro.

Việc khai thác thành công CVE-2025-54539 cho phép kẻ tấn công từ xa thực thi mã tùy ý. Điều này dẫn đến nguy cơ cao về việc đánh cắp dữ liệu, chiếm quyền điều khiển hệ thống, hoặc triển khai thêm các loại mã độc khác. Dự án Apache đã xếp hạng mức độ nghiêm trọng của lỗ hổng này là Quan trọng phản ánh tác động lớn đến tính bảo mật, toàn vẹn và khả dụng của hệ thống.

Để khắc phục, các nhà phát triển và quản trị viên được khuyến nghị nâng cấp ngay lập tức lên phiên bản 2.4.0 hoặc mới hơn của Apache ActiveMQ NMS AMQP Client.

Về lâu dài, các nhà phát triển nên cân nhắc chuyển đổi khỏi việc sử dụng tính năng .NET binary serialization, vốn được Microsoft có kế hoạch loại bỏ trong .NET 9. Thay vào đó, việc áp dụng các framework tuần tự hóa an toàn hơn như JSON hoặc Protocol Buffers cùng với việc thực thi kiểm tra kiểu dữ liệu nghiêm ngặt là giải pháp được khuyến khích.

Đồng thời, các đội bảo mật cần rà soát lại cấu hình message broker, đảm bảo rằng máy client chỉ kết nối với các máy chủ AMQP đáng tin cậy. Việc bổ sung các biện pháp kiểm soát cấp độ mạng, như firewall, cũng là cần thiết để giảm thiểu rủi ro tiếp xúc với các điểm cuối độc hại. Lỗ hổng này được phát hiện và báo cáo bởi Đội Nghiên cứu Bảo mật tại Endor Labs.