CVE-2026-42588

Apache ActiveMQ Broker, Apache ActiveMQ All və Apache ActiveMQ proqramlarında Giriş Məlumatlarının Yanlış Doğrulanması və Kodun Yaradılmasının Yanlış İdarə Edilməsi ("Kod İnyeksiyası") zəifliyi aşkar edilmişdir. Apache ActiveMQ Classic veb konsolunda `/api/jolokia/` ünvanında Jolokia JMX-HTTP körpüsünü təmin edir. Standart Jolokia giriş siyasəti bütün ActiveMQ MBean-ləri (org.apache.activemq:*) üzərində, o cümlədən `BrokerService.addNetworkConnector(String)` funksiyasında `exec` əməliyyatlarına icazə verir. Autentifikasiya olunmuş hücumçu, "masterslave://" URL-i vasitəsilə VM transportunun `brokerConfig` parametrini tetikləyən xüsusi hazırlanmış kəşf URI-si ilə bu əməliyyatları çağıra bilər ki, bu da `ResourceXmlApplicationContext` istifadə edərək Spring XML tətbiq kontekstinin yüklənməsinə şərait yaradır. Spring-in `ResourceXmlApplicationContext` sinfi, `BrokerService` konfiqurasiyanı doğrulamazdan əvvəl bütün singleton bean-lərini instansiya etdiyi üçün, `Runtime.exec()` kimi bean zavod metodları vasitəsilə brokerin JVM-də ixtiyari kodun icrası baş verir. Bu problem aşağıdakılara təsir edir: Apache ActiveMQ Broker: 5.19.7 versiyasından əvvəlki və 6.0.0-dan 6.2.6-ya qədər olan versiyalar; Apache ActiveMQ All: 5.19.7 versiyasından əvvəlki və 6.0.0-dan 6.2.6-ya qədər olan versiyalar; Apache ActiveMQ: 5.19.7 versiyasından əvvəlki və 6.0.0-dan 6.2.6-ya qədər olan versiyalar. İstifadəçilərə problemi aradan qaldıran 5.19.7 və ya 6.2.6 versiyasına yeniləməkləri tövsiyə olunur.