CVE-2026-111822
NieznaneStreszczenie
W Apache ActiveMQ i Apache ActiveMQ Runtime Config występuje luka polegająca na nieprawidłowym unieważnianiu buforowanych autoryzacji. Po usunięciu przez wtyczkę konfiguracji runtime uprawnień zapisu dla principal na destination, uwierzytelnione połączenie otwarte przed zmianą może nadal wysyłać do tej destination, w tym przez nowego anonimowego producenta, podczas gdy nowe połączenia i nowi jawni producenci są odrzucani. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ Runtime Config w tych samych zakresach.
Ocena ryzyka
Organizacja może błędnie sądzić, że odebranie uprawnień zapisu zostało skutecznie zastosowane, podczas gdy istniejące połączenia nadal mogą publikować wiadomości. Może to prowadzić do nieautoryzowanego przesyłania danych i naruszenia polityk kontroli dostępu.
Rekomendacja
Zaktualizuj Apache ActiveMQ i Apache ActiveMQ Runtime Config do wersji 6.4.0, 6.3.3 lub 5.19.12, które naprawiają problem. Po zmianie uprawnień rozważ zamknięcie istniejących połączeń, aby wymusić ponowną autoryzację.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2026-108946Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje niewłaściwa walidacja danych wejściowych. Broker nie sprawdza w niektórych scenariuszach, czy identyfikatory połączeń, sesji i konsumentów podane przez użytkownika należą do tego użytkownika, co pozwala uwierzytelnionemu klientowi podszyć się pod identyfikatory innego użytkownika.
- CVE-2026-108500Nieznane
W Apache ActiveMQ skonfigurowanym z LDAPAuthorizationMapPlugin występuje podatność na niewłaściwą walidację danych wejściowych. Uwierzytelniony atakujący może utworzyć lub zaadresować destination o spreparowanej nazwie zawierającej znaki specjalne LDAP DN, manipulując bazą wyszukiwania LDAP używaną do sprawdzania ACL.
- CVE-2026-111821Nieznane
W Apache ActiveMQ i Apache ActiveMQ KahaDB występuje luka nieprawidłowej walidacji danych wejściowych. Użytkownik może utworzyć trwałą subskrypcję z clientId i nazwą subskrypcji, których łączna długość przekracza 65 535 znaków (przy czym osobno są krótsze), na brokerze korzystającym z KahaDB, co może spowodować zatrzymanie brokera i brak możliwości jego odzyskania. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także Apache ActiveMQ KahaDB w tych samych zakresach.
- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-108949Średnie
W Apache ActiveMQ i ActiveMQ Broker występuje luka umożliwiająca atak typu Denial of Service przez wyczerpanie pamięci (OOM). Uwierzytelniony klient OpenWire wysyłający ConsumerInfo dla tymczasowej kolejki/tematu należącego do innego połączenia otrzymuje odrzucenie z InvalidDestinationException, ale odrzucona subskrypcja pozostaje w mapie subskrypcji regionu. Powtarzanie żądania powoduje wyciek pamięci sterty brokera aż do OOM, ponieważ broker nie usuwa odrzuconych subskrypcji z mapy. Problem dotyczy wersji Apache ActiveMQ od 6.0.0 przed 6.3.3 oraz przed 5.19.12, a także ActiveMQ Broker w tych samych zakresach.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
Oryginalny opis (angielski, źródło NVD)
Improper invalidation of cached authorizations vulnerability in Apache ActiveMQ, Apache ActiveMQ Runtime Config. After the runtime configuration plugin removes a principal's write grant on a destination, an authenticated connection opened before the change can keep sending to that destination, including through a new anonymous producer, while fresh connections and new explicit producers are denied. This issue affects Apache ActiveMQ: from 6.0.0 before 6.3.3, before 5.19.12; Apache ActiveMQ Runtime Config: from 6.0.0 before 6.3.3, before 5.19.12. Users are recommended to upgrade to version 6.4.0, 6.3.3 or 5.19.12, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS