CVE-2016-8741 in Qpid Broker for Java
Zusammenfassung
von VulDB • 28.06.2026
Der Apache Qpid Broker for Java kann so konfiguriert werden, dass verschiedene sogenannte „AuthenticationProvider“ zur Bearbeitung der Benutzerauthentifizierung verwendet werden. Zu den verfügbaren Optionen gehören die Typen „SCRAM-SHA-1 AuthenticationProvider“ und „SCRAM-SHA-256 AuthenticationProvider“. Es wurde entdeckt, dass diese AuthenticationProvider in Apache Qpid Broker for Java 6.0.x vor Version 6.0.6 sowie 6.1.x vor Version 6.1.1 die SCRAM SASL-Aushandlung (Negotiation) vorzeitig beenden, wenn der angegebene Benutzername nicht existiert, wodurch es einem entfernten Angreifer ermöglicht wird, das Vorhandensein von Benutzerkonten festzustellen. Die Vulnerability gilt nicht für AuthenticationProvider anderer Art als SCRAM-SHA-1 und SCRAM-SHA-256.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.