CVE-2026-57822
NieznaneStreszczenie
Gdy broker przetwarza żądania zarządzania oparte na wiadomościach, wysyłane przez uwierzytelnionego klienta z uprawnieniem MANAGE do zarządzania przez wiadomości, przetwarzanie parametrów może wywołać deserializację Java niektórych parametrów metod, których broker nie wykorzysta. Dozwolone typy pozwalają na spreparowanie ładunku powodującego nadmierne obliczenia i zablokowanie wątku przetwarzania, prowadząc do odmowy usługi. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.3.0–2.44.0.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniem MANAGE może zablokować wątek brokera i wywołać odmowę usługi. Może to zakłócić działanie systemów zależnych od brokera wiadomości.
Rekomendacja
Należy zaktualizować Apache Artemis / ActiveMQ Artemis do wersji 2.57.0, która naprawia tę podatność. Warto także ograniczyć przyznawanie uprawnienia MANAGE do niezbędnego minimum.
Inne podatności w Apache Artemis
Zobacz wszystkie- CVE-2026-75880Nieznane
Uwierzytelniony klient może dołączyć konsumenta z selektorem zawierającym spreparowane użycie wildcard, co powoduje nadmierne przetwarzanie podczas prób dostarczania wiadomości. Zajmuje to współdzielony wątek brokera i prowadzi do odmowy usługi (DoS). Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-67593Nieznane
Zdalny atakujący może spreparować komendę Openwire RemoveSubscriptionInfo, aby spowodować usunięcie kolejki na brokerze Artemis przed etapem uwierzytelniania i autoryzacji połączenia lub w dowolnym momencie później. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-57967Nieznane
Nieuwierzytelniony zdalny atakujący może spreparować pakiet SESSION_REATTACH protokołu CORE, aby przejąć istniejącą sesję i kontynuować wykonywanie wcześniej uwierzytelnionej sesji. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-49364Nieznane
Nieuwierzytelniony atakujący z sąsiedztwa sieciowego może wykorzystać mechanizm discovery do przechwycenia poświadczeń administracyjnych klastra podczas początkowego uzgadniania połączenia klastra. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-49363Nieznane
Nieuwierzytelniony zdalny atakujący łączący się za pomocą protokołu CORE może odkryć szczegóły węzłów klastra, wysyłając żądanie SUBSCRIBE_TOPOLOGY przed uwierzytelnieniem. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-49362Nieznane
Nieuwierzytelniony zdalny atakujący może tworzyć dowolne trwałe kolejki za pośrednictwem protokołu CORE, co prowadzi do nieautoryzowanej manipulacji stanem brokera i potencjalnej odmowy usługi. Podatność dotyczy Apache Artemis w wersjach 2.50.0–2.56.0 oraz Apache ActiveMQ Artemis w wersjach 1.0.0–2.44.0.
- CVE-2026-27446Krytyczne
Brak uwierzytelniania dla krytycznej funkcji (CWE-306) w Apache Artemis i Apache ActiveMQ Artemis. Nieuwierzytelniony zdalny atakujący może użyć protokołu Core, aby zmusić docelowego brokera do ustanowienia wychodzącego połączenia federacyjnego Core z kontrolowanym przez atakującego złośliwym brokerem. Może to potencjalnie prowadzić do wstrzyknięcia wiadomości do dowolnej kolejki i/lub wycieku wiadomości z dowolnej kolejki za pośrednictwem złośliwego brokera.
Oryginalny opis (angielski, źródło NVD)
When the broker is processing message-based management requests, sent by an authenticated messaging client that is authorized with MANAGE permission to perform management-via-messaging, the parameter processing can trigger Java deserialization of certain method parameters that the broker will not utilise. The permitted types allow to craft a payload causing excessive computation and pinning the processing thread, leading to denial of service. This issue affects Apache Artemis: from 2.50.0 through 2.56.0; Apache ActiveMQ Artemis: from 1.3.0 through 2.44.0. Users are recommended to upgrade to version 2.57.0, which fixes the issue.