CVE-2026-108949
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Apache ActiveMQ i ActiveMQ Broker występuje luka umożliwiająca atak typu Denial of Service przez wyczerpanie pamięci (OOM). Uwierzytelniony klient OpenWire wysyłający ConsumerInfo dla tymczasowej kolejki/tematu należącego do innego połączenia otrzymuje odrzucenie z InvalidDestinationException, ale odrzucona subskrypcja pozostaje w mapie subskrypcji regionu. Powtarzanie żądania powoduje wyciek pamięci sterty brokera aż do OOM, ponieważ broker nie usuwa odrzuconych subskrypcji z mapy. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także ActiveMQ Broker w tych samych zakresach.
Ocena ryzyka
Uwierzytelniony atakujący może doprowadzić do wyczerpania pamięci i zatrzymania brokera, powodując niedostępność usługi przesyłania wiadomości. Może to zakłócić działanie aplikacji zależnych od ActiveMQ.
Rekomendacja
Zaktualizuj Apache ActiveMQ i ActiveMQ Broker do wersji 6.4.0, 6.3.3 lub 5.19.12, które naprawiają problem. Monitoruj zużycie pamięci brokera i ogranicz dostęp uwierzytelnionych klientów OpenWire do niezbędnych.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2026-108946Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje niewłaściwa walidacja danych wejściowych. Broker nie sprawdza w niektórych scenariuszach, czy identyfikatory połączeń, sesji i konsumentów podane przez użytkownika należą do tego użytkownika, co pozwala uwierzytelnionemu klientowi podszyć się pod identyfikatory innego użytkownika.
- CVE-2026-108500Nieznane
W Apache ActiveMQ skonfigurowanym z LDAPAuthorizationMapPlugin występuje podatność na niewłaściwą walidację danych wejściowych. Uwierzytelniony atakujący może utworzyć lub zaadresować destination o spreparowanej nazwie zawierającej znaki specjalne LDAP DN, manipulując bazą wyszukiwania LDAP używaną do sprawdzania ACL.
- CVE-2026-111822Nieznane
W Apache ActiveMQ i Apache ActiveMQ Runtime Config występuje luka polegająca na nieprawidłowym unieważnianiu buforowanych autoryzacji. Po usunięciu przez wtyczkę konfiguracji runtime uprawnień zapisu dla principal na destination, uwierzytelnione połączenie otwarte przed zmianą może nadal wysyłać do tej destination, w tym przez nowego anonimowego producenta, podczas gdy nowe połączenia i nowi jawni producenci są odrzucani. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ Runtime Config w tych samych zakresach.
- CVE-2026-111821Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje luka nieprawidłowej walidacji danych wejściowych. Użytkownik może utworzyć trwałą subskrypcję z clientId i nazwą subskrypcji, których łączna długość przekracza 65 535 znaków (przy czym osobno są krótsze), na brokerze korzystającym z KahaDB, co może spowodować zatrzymanie brokera i brak możliwości jego odzyskania. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ KahaDB w tych samych zakresach.
- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
Oryginalny opis (angielski, źródło NVD)
Denial of Service via OOM vulnerability in Apache ActiveMQ, ActiveMQ Broker. An authenticated OpenWire client that sends a ConsumerInfo for a temporary queue/topic owned by another connection is rejected with InvalidDestinationException, but the rejected Subscription is left behind in the region's subscriptions map. Repeating the request leaks broker heap until OOM because the broker does not clean up the rejected subscriptions in the map. This issue affects Apache ActiveMQ: from 6.0.0 before 6.3.3, before 5.19.12; ActiveMQ Broker: from 6.0.0 before 6.3.3, before 5.19.12. Users are recommended to upgrade to version 6.4.0, 6.3.3, or 5.19.12, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS