CVE-2026-111821
NieznaneStreszczenie
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje luka nieprawidłowej walidacji danych wejściowych. Użytkownik może utworzyć trwałą subskrypcję z clientId i nazwą subskrypcji, których łączna długość przekracza 65 535 znaków (przy czym osobno są krótsze), na brokerze korzystającym z KahaDB, co może spowodować zatrzymanie brokera i brak możliwości jego odzyskania. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ KahaDB w tych samych zakresach.
Ocena ryzyka
Uwierzytelniony użytkownik może doprowadzić do niedostępności brokera wymagającej interwencji administracyjnej, co zakłóca przetwarzanie wiadomości. Może to wpłynąć na ciągłość działania systemów zależnych od ActiveMQ.
Rekomendacja
Zaktualizuj Apache ActiveMQ i Apache ActiveMQ KahaDB do wersji 6.4.0, 6.3.3 lub 5.19.12, które naprawiają problem. Ogranicz możliwość tworzenia trwałych subskrypcji do zaufanych użytkowników.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2026-108946Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje niewłaściwa walidacja danych wejściowych. Broker nie sprawdza w niektórych scenariuszach, czy identyfikatory połączeń, sesji i konsumentów podane przez użytkownika należą do tego użytkownika, co pozwala uwierzytelnionemu klientowi podszyć się pod identyfikatory innego użytkownika.
- CVE-2026-108500Nieznane
W Apache ActiveMQ skonfigurowanym z LDAPAuthorizationMapPlugin występuje podatność na niewłaściwą walidację danych wejściowych. Uwierzytelniony atakujący może utworzyć lub zaadresować destination o spreparowanej nazwie zawierającej znaki specjalne LDAP DN, manipulując bazą wyszukiwania LDAP używaną do sprawdzania ACL.
- CVE-2026-111822Nieznane
W Apache ActiveMQ i Apache ActiveMQ Runtime Config występuje luka polegająca na nieprawidłowym unieważnianiu buforowanych autoryzacji. Po usunięciu przez wtyczkę konfiguracji runtime uprawnień zapisu dla principal na destination, uwierzytelnione połączenie otwarte przed zmianą może nadal wysyłać do tej destination, w tym przez nowego anonimowego producenta, podczas gdy nowe połączenia i nowi jawni producenci są odrzucani. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ Runtime Config w tych samych zakresach.
- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-108949Średnie
W Apache ActiveMQ i ActiveMQ Broker występuje luka umożliwiająca atak typu Denial of Service przez wyczerpanie pamięci (OOM). Uwierzytelniony klient OpenWire wysyłający ConsumerInfo dla tymczasowej kolejki/tematu należącego do innego połączenia otrzymuje odrzucenie z InvalidDestinationException, ale odrzucona subskrypcja pozostaje w mapie subskrypcji regionu. Powtarzanie żądania powoduje wyciek pamięci sterty brokera aż do OOM, ponieważ broker nie usuwa odrzuconych subskrypcji z mapy. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także ActiveMQ Broker w tych samych zakresach.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
Oryginalny opis (angielski, źródło NVD)
Improper input validation vulnerability in Apache ActiveMQ, Apache ActiveMQ KahaDB. A user can create a durable subscription with a clientId and subscription name that have a combined length > 65,535 (while separately being shorter) on a broker using KahaDB which can cause the broker to shutdown and be unrecoverable. This issue affects Apache ActiveMQ: from 6.0.0 before 6.3.3, before 5.19.12; Apache ActiveMQ KahaDB: from 6.0.0 before 6.3.3, before 5.19.12. Users are recommended to upgrade to version 6.4.0, 6.3.3 or 5.19.12, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS