CVE-2026-108500
NieznaneStreszczenie
W Apache ActiveMQ skonfigurowanym z LDAPAuthorizationMapPlugin występuje podatność na niewłaściwą walidację danych wejściowych. Uwierzytelniony atakujący może utworzyć lub zaadresować destination o spreparowanej nazwie zawierającej znaki specjalne LDAP DN, manipulując bazą wyszukiwania LDAP używaną do sprawdzania ACL.
Ocena ryzyka
Atakujący może wpłynąć na wyniki kontroli dostępu opartych na LDAP, potencjalnie uzyskując nieuprawniony dostęp do destination. Ryzyko dotyczy środowisk ActiveMQ korzystających z LDAPAuthorizationMapPlugin.
Rekomendacja
Zaktualizuj Apache ActiveMQ do wersji 6.4.0, 6.3.3 lub 5.19.12, która naprawia tę podatność. Do czasu aktualizacji rozważ ograniczenie możliwości tworzenia destination przez użytkowników.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2026-108946Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje niewłaściwa walidacja danych wejściowych. Broker nie sprawdza w niektórych scenariuszach, czy identyfikatory połączeń, sesji i konsumentów podane przez użytkownika należą do tego użytkownika, co pozwala uwierzytelnionemu klientowi podszyć się pod identyfikatory innego użytkownika.
- CVE-2026-111822Nieznane
W Apache ActiveMQ i Apache ActiveMQ Runtime Config występuje luka polegająca na nieprawidłowym unieważnianiu buforowanych autoryzacji. Po usunięciu przez wtyczkę konfiguracji runtime uprawnień zapisu dla principal na destination, uwierzytelnione połączenie otwarte przed zmianą może nadal wysyłać do tej destination, w tym przez nowego anonimowego producenta, podczas gdy nowe połączenia i nowi jawni producenci są odrzucani. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ Runtime Config w tych samych zakresach.
- CVE-2026-111821Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje luka nieprawidłowej walidacji danych wejściowych. Użytkownik może utworzyć trwałą subskrypcję z clientId i nazwą subskrypcji, których łączna długość przekracza 65 535 znaków (przy czym osobno są krótsze), na brokerze korzystającym z KahaDB, co może spowodować zatrzymanie brokera i brak możliwości jego odzyskania. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ KahaDB w tych samych zakresach.
- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-108949Średnie
W Apache ActiveMQ i ActiveMQ Broker występuje luka umożliwiająca atak typu Denial of Service przez wyczerpanie pamięci (OOM). Uwierzytelniony klient OpenWire wysyłający ConsumerInfo dla tymczasowej kolejki/tematu należącego do innego połączenia otrzymuje odrzucenie z InvalidDestinationException, ale odrzucona subskrypcja pozostaje w mapie subskrypcji regionu. Powtarzanie żądania powoduje wyciek pamięci sterty brokera aż do OOM, ponieważ broker nie usuwa odrzuconych subskrypcji z mapy. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także ActiveMQ Broker w tych samych zakresach.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
Oryginalny opis (angielski, źródło NVD)
Input validation vulnerability in Apache ActiveMQ configured to use the LDAPAuthorizationMapPlugin allows an authenticated attacker to create or address a destination with a crafted name containing LDAP DN special characters (such as comma, plus, equals, backslash) can manipulate the LDAP search base used for ACL lookups. This issue affects Apache ActiveMQ: from 6.3.0 before 6.3.3, from 5.19.0 before 5.19.12. Users are recommended to upgrade to version 6.4.0, 6.3.3 or 5.19.12, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS