CVE-2026-40466

Apache ActiveMQ Broker, Apache ActiveMQ All və Apache ActiveMQ komponentlərində Giriş Məlumatlarının Yanlış Doğrulanması və Kodun Yaradılmasının Yanlış İdarə Edilməsi ('Code Injection') zəifliyi aşkar edilmişdir. Əgər activemq-http modulu classpath-dədirsə, autentifikasiya olunmuş hücumçu Jolokia vasitəsilə BrokerView.addNetworkConnector və ya BrokerView.addConnector istifadə edərək HTTP Discovery transportu ilə konnektor əlavə etməklə CVE-2026-34197 üçün tətbiq edilmiş düzəlişi yan keçə bilər. Zərərli HTTP son nöqtəsi (endpoint), HTTP URI vasitəsilə VM transportu qaytara bilər ki, bu da CVE-2026-34197-də əlavə edilmiş doğrulamadan yan keçməyə imkan verir. Daha sonra hücumçu ResourceXmlApplicationContext istifadə edərək uzaq Spring XML tətbiq kontekstini yükləmək üçün VM transportunun brokerConfig parametrindən istifadə edə bilər. Spring-in ResourceXmlApplicationContext sinfi bütün singleton bean-ləri BrokerService konfiqurasiyanı doğrulamazdan əvvəl instansiya etdiyi üçün, Runtime.exec() kimi bean zavod metodları vasitəsilə brokerin JVM-də ixtiyari kodun icrası baş verir. Bu problem aşağıdakılara təsir edir: Apache ActiveMQ Broker: 5.19.6 versiyasından əvvəlki və 6.0.0-dan 6.2.5-ə qədər olan versiyalar; Apache ActiveMQ All: 5.19.6 versiyasından əvvəlki və 6.0.0-dan 6.2.5-ə qədər olan versiyalar; Apache ActiveMQ: 5.19.6 versiyasından əvvəlki və 6.0.0-dan 6.2.5-ə qədər olan versiyalar. İstifadəçilərə problemi aradan qaldıran 5.19.6 və ya 6.2.5 versiyalarına yeniləmək tövsiyə olunur.