CVE-2026-49434
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 — wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność związana z nieprawidłową walidacją danych wejściowych w Apache ActiveMQ umożliwia atakującemu z dostępem do LDAP na tworzenie niedozwolonych transportów w JVM brokera. Może to prowadzić do pobrania złośliwego adresu URL i uruchomienia drugiej instancji BrokerService w tej samej maszynie wirtualnej.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub eskalacji uprawnień w obrębie serwera ActiveMQ, co może skutkować przejęciem kontroli nad brokerem i naruszeniem poufności oraz integralności przesyłanych komunikatów.
Rekomendacja
Należy niezwłocznie zaktualizować Apache ActiveMQ do wersji 5.19.8 lub 6.2.7, które zawierają poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Improper Input Validation vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ, Apache ActiveMQ All. An attacker that has access to publish or modify entries in LDAP that match the configured searchBase and searchFilter can instantiate denied transports inside the broker JVM. This can be used to fetch an attacker URL and spawn a second BrokerService inside the same JVM. This issue affects Apache ActiveMQ Broker: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ All: before 5.19.8, from 6.0.0 before 6.2.7. Users are recommended to upgrade to version 6.2.7 or 5.19.8, which fixes the issue.