crítica
CVE-2019-0187
Unauthenticated RCE is possible when JMeter is used in distributed mod ...
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
NVD9.8CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
La etiqueta propia de Trivy es CRITICAL. Crítica según NVD, GHSA.
Descripción
Unauthenticated RCE is possible when JMeter is used in distributed mode (-r or -R command line options). Attacker can establish a RMI connection to a jmeter-server using RemoteJMeterEngine and proceed with an attack using untrusted data deserialization. This only affect tests running in Distributed mode. Note that versions before 4.0 are not able to encrypt traffic between the nodes, nor authenticate the participating nodes so upgrade to JMeter 5.1 is also advised.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| maven::GitHub Security Advisory Maven | org.apache.jmeter:apachejmeter | 5.1 |
| debian 10 | jakarta-jmeter | sin corrección indicada |
| debian 11 | jakarta-jmeter | sin corrección indicada |
| debian 12 | jakarta-jmeter | sin corrección indicada |
| debian 13 | jakarta-jmeter | sin corrección indicada |
| debian 14 | jakarta-jmeter | sin corrección indicada |
| debian 8 | jakarta-jmeter | sin corrección indicada |
| debian 9 | jakarta-jmeter | sin corrección indicada |
| echo | jakarta-jmeter | sin corrección indicada |
| rapidfort debian 12 | jakarta-jmeter | sin corrección indicada |
| rapidfort debian 13 | jakarta-jmeter | sin corrección indicada |