alex0x08 Mar 19 at 15:15

Шатаем ActiveMQ

Hard

10 min

1.8K

Information Security*Java*

Case

+10

Comments 13

DjUmnik Mar 19 at 17:10

А зачем оно торчит наружу?

alex0x08 Mar 19 at 17:15

Оно не торчит наружу, зато гарантированно используется с бекэнда.

Heggi Mar 19 at 17:38

Когда работал в кровавом энтерпрайзе, нужно было выбрать между RabbitMQ и ActiveMQ. Начальство продавило ActiveMQ и как же мы с ним затрахались... Я вообще удивлён что это глючное поделие используется в серьезных системах. Кластер разваливался от любого чиха (и это без нагрузки!).

Сейчас в мелком финтехе используем RabbitMQ и это небо и земля. Кластер чтобы развалить - это надо постараться.

alex0x08 Mar 19 at 17:42

Никогда не видел RabbitMQ в энтерпрайзе если честно, он же больше про онлайн-сервисы, крупные сайты его использовали всегда.

Heggi Mar 19 at 17:54

Вот интересно почему. Если энтерпрайз, то либо ActiveMQ, либо Kafka. Про кафку ничего сказать не могу - не сталкивался, а вот ActiveMQ шляпа та еще.

alex0x08 Mar 19 at 17:57

Вообще-то до Kafka (это другая концепция) был IBM MQ, который для энтерпрайза был практически стандартом. ActiveMQ выбирали в первую очередь из-за его бесплатности.

qeeveex Mar 28 at 10:36

Вот интересно почему.

Из-за Java может быть.

Dmitry2019 Mar 19 at 23:21

Вообще-то даже на сайте ActiveMQ стоит рекомендация переходить на Artemis

alex0x08 Mar 19 at 23:39

Apache received the code of HornetQ and they decided to change the name to Artemis and then the potential future ActiveMQ.
But by looking to the latest news on their board, it seems the two projects are still distinct and ActiveMQ 5.15.x is still using the old ActiveMQ core source code.
Apparently they need to add some ActiveMQ features that were not in the initial HornetQ code, like a full AMQP support.

Отсюда.

Artemis как и HornetQ в работе не видел.

Dmitry2019 Mar 19 at 23:48

По ощущениям более шустро. Различия есть только в нестандартных случаях, таких, например, как отправка сообщений с задержкой.

QuarkDoe Mar 19 at 18:42

Интересно.
Как я понял, косяк в протоколе OpenWire.
Но что если наружу торчит какой-нибудь AMQP? Или вообще STOMP? Можно ли как-нибудь заставить брокер создать требуемый объект?

alex0x08 Mar 19 at 18:50

Конкретно эта дыра только в обработке OpenWire, применения STOMP в связке с ActiveMQ не видел никогда.

Выше спрашивали «какой дурак откроет ActiveMQ наружу» — судя по скриншотам из Shodan в этом репозитории, таких оказалось десятки тысяч по всему миру.

QuarkDoe Mar 20 at 04:37

применения STOMP в связке с ActiveMQ не видел никогда.

Заменить встроенный в Спринг брокер через STOMP прокладку.