CVE-2026-108946
NieznaneStreszczenie
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje niewłaściwa walidacja danych wejściowych. Broker nie sprawdza w niektórych scenariuszach, czy identyfikatory połączeń, sesji i konsumentów podane przez użytkownika należą do tego użytkownika, co pozwala uwierzytelnionemu klientowi podszyć się pod identyfikatory innego użytkownika.
Ocena ryzyka
Uwierzytelniony klient może przejąć lub usunąć subskrypcje innego użytkownika, skonsumować wiadomości z jego tymczasowych kolejek lub trwale usunąć niepotwierdzoną wiadomość. Prowadzi to do naruszenia poufności i integralności komunikacji.
Rekomendacja
Zaktualizuj Apache ActiveMQ do wersji 6.4.0, 6.3.3 lub 5.19.12, która naprawia tę podatność. Ogranicz dostęp uwierzytelnionych klientów do niezbędnego minimum.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2026-108500Nieznane
W Apache ActiveMQ skonfigurowanym z LDAPAuthorizationMapPlugin występuje podatność na niewłaściwą walidację danych wejściowych. Uwierzytelniony atakujący może utworzyć lub zaadresować destination o spreparowanej nazwie zawierającej znaki specjalne LDAP DN, manipulując bazą wyszukiwania LDAP używaną do sprawdzania ACL.
- CVE-2026-111822Nieznane
W Apache ActiveMQ i Apache ActiveMQ Runtime Config występuje luka polegająca na nieprawidłowym unieważnianiu buforowanych autoryzacji. Po usunięciu przez wtyczkę konfiguracji runtime uprawnień zapisu dla principal na destination, uwierzytelnione połączenie otwarte przed zmianą może nadal wysyłać do tej destination, w tym przez nowego anonimowego producenta, podczas gdy nowe połączenia i nowi jawni producenci są odrzucani. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ Runtime Config w tych samych zakresach.
- CVE-2026-111821Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje luka nieprawidłowej walidacji danych wejściowych. Użytkownik może utworzyć trwałą subskrypcję z clientId i nazwą subskrypcji, których łączna długość przekracza 65 535 znaków (przy czym osobno są krótsze), na brokerze korzystającym z KahaDB, co może spowodować zatrzymanie brokera i brak możliwości jego odzyskania. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ KahaDB w tych samych zakresach.
- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-108949Średnie
W Apache ActiveMQ i ActiveMQ Broker występuje luka umożliwiająca atak typu Denial of Service przez wyczerpanie pamięci (OOM). Uwierzytelniony klient OpenWire wysyłający ConsumerInfo dla tymczasowej kolejki/tematu należącego do innego połączenia otrzymuje odrzucenie z InvalidDestinationException, ale odrzucona subskrypcja pozostaje w mapie subskrypcji regionu. Powtarzanie żądania powoduje wyciek pamięci sterty brokera aż do OOM, ponieważ broker nie usuwa odrzuconych subskrypcji z mapy. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także ActiveMQ Broker w tych samych zakresach.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
Oryginalny opis (angielski, źródło NVD)
Improper input validation vulnerability in Apache ActiveMQ, Apache ActiveMQ KahaDB. The ActiveMQ broker resolves connection, session and consumer state from ids that are user provided and in some scenarios does not validate that they ids are bound to that user. This allows an authenticated client to spoof another user's ids. This allows: * an authenticated client consumes from another connection's temporary queue/topic by putting the victim's connection id in its own ConsumerId, bypassing the broker-side ownership check. * a duplicate ConsumerId registration is only logged, after which the attacker's RemoveInfo or disconnect tears down the victim's live subscription * a forged MessageAck for the victim's ConsumerId permanently deletes an in-flight, unacknowledged message. This issue affects Apache ActiveMQ: from 6.0.0 before 6.3.3, before 5.19.12; Apache ActiveMQ KahaDB: from 6.0.0 before 6.3.3, before 5.19.12. Users are recommended to upgrade to version 6.4.0, 6.3.3, or 5.19.12, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS