CVE-2026-33227
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Apache ActiveMQ zawiera lukę niewłaściwej walidacji nazw ścieżek classpath. Uwierzytelniony użytkownik może podać wartość 'key', która po konkatenacji ścieżek pozwala na traversal classpath, co może prowadzić do ładowania zasobów spoza dozwolonego obszaru i łączenia z innymi atakami.
Ocena ryzyka
Uwierzytelniony atakujący może wykorzystać lukę do załadowania nieautoryzowanych zasobów classpath, co potencjalnie umożliwia dalszą eksploatację w połączeniu z innymi podatnościami.
Rekomendacja
Zaktualizuj Apache ActiveMQ do wersji 5.19.4 lub 6.2.3 (lub nowszej). Upewnij się, że poprawka jest zastosowana również w środowiskach Windows.
Inne podatności w Apache ActiveMQ
Zobacz wszystkie- CVE-2014-3576Wysokie
Funkcja processControlCommand w broker/TransportConnection.java w Apache ActiveMQ przed wersją 5.11.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (shutdown) za pomocą polecenia shutdown.
- CVE-2026-40466Wysokie
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu ominięcie poprawki z CVE-2026-34197 poprzez dodanie konektora z wykorzystaniem transportu HTTP Discovery. Atakujący może użyć złośliwego punktu końcowego HTTP, który zwraca transport VM, co pozwala na załadowanie zdalnego kontekstu aplikacji Spring XML i wykonanie dowolnego kodu na JVM brokera.
- CVE-2026-34197WysokieAktywnie exploitowane
Podatność w Apache ActiveMQ umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze poprzez endpoint Jolokia JMX-HTTP. Atak polega na wywołaniu operacji dodania łącznika sieciowego z fałszywym URI, który ładuje zdalny kontekst Spring XML, co prowadzi do wykonania dowolnego kodu w JVM brokera.
- CVE-2015-5254Krytyczne
Apache ActiveMQ w wersjach 5.x przed 5.13.0 nie ogranicza klas, które mogą być serializowane w brokerze, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego obiektu Java Message Service (JMS) ObjectMessage.
- CVE-2026-74761Wysokie
Nieprawidłowa walidacja danych wejściowych w komponencie TopicRegion w Apache ActiveMQ, Apache ActiveMQ Broker i Apache ActiveMQ All na wszystkich platformach. Uwierzytelniony klient może sfałszować clientId podczas usuwania trwałej subskrypcji tematycznej.
- CVE-2026-61487Średnie
Podatność niewłaściwej autoryzacji w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na ominięcie listy ACL zapisu dla docelowych kolejek poprzez wysłanie wiadomości do tymczasowej złożonej kolejki. Sprawia to, że sprawdzenie autoryzacji jest pomijane.
- CVE-2026-59878Wysokie
Apache ActiveMQ (wersje przed 5.19.9 oraz 6.0.0 przed 6.2.8) zawiera podatność w komponencie AMQP NIO. Zdalny, nieuwierzytelniony atakujący może wysłać ramkę z określonym rozmiarem, powodując śmierć wątków NIO. Szybkie powtarzanie może wyczerpać pulę wątków NIO, prowadząc do odmowy usługi.
- CVE-2026-54475Wysokie
W Apache ActiveMQ wykryto brak autoryzacji dla tymczasowych kolejek. Oczekiwano, że tymczasowe kolejki będą izolowane dla połączenia, które je utworzyło, jednak izolacja ta jest sprawdzana tylko po stronie klienta, co pozwala innemu połączeniu na konsumpcję z tymczasowej kolejki innego połączenia.
- CVE-2026-53917Wysokie
Podatność w Apache ActiveMQ pozwala uwierzytelnionemu użytkownikowi na przeprowadzenie ataku DoS na broker poprzez wysłanie spreparowanej wiadomości OpenWire z zawyżoną wartością rozmiaru mapy. Brak walidacji rozmiaru podczas deserializacji map właściwości wiadomości może prowadzić do wyczerpania pamięci (OOM) i awarii brokera.
- CVE-2026-53916Wysokie
Podatność w Apache ActiveMQ pozwala nieuwierzytelnionemu klientowi na wysłanie przez STOMP NIO nagłówków, które nigdy się nie kończą, co powoduje nieograniczone buforowanie przez brokera i wyczerpanie sterty JVM.
Oryginalny opis (angielski, źródło NVD)
Improper validation and restriction of a classpath path name vulnerability in Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ Web, Apache ActiveMQ. In two instances (when creating a Stomp consumer and also browsing messages in the Web console) an authenticated user provided "key" value could be constructed to traverse the classpath due to path concatenation. As a result, the application is exposed to a classpath path resource loading vulnerability that could potentially be chained together with another attack to lead to exploit. This issue affects Apache ActiveMQ Client: before 5.19.3, from 6.0.0 before 6.2.2; Apache ActiveMQ Broker: before 5.19.3, from 6.0.0 before 6.2.2; Apache ActiveMQ All: before 5.19.3, from 6.0.0 before 6.2.2; Apache ActiveMQ Web: before 5.19.3, from 6.0.0 before 6.2.2; Apache ActiveMQ: before 5.19.3, from 6.0.0 before 6.2.2. Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issue. Note: 5.19.3 and 6.2.2 also fix this issue, but that is limited to non-Windows environments due to a path separator resolution bug fixed in 5.19.4 and 6.2.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS