CVE-2026-40466
Açıklama
Apache ActiveMQ Broker, Apache ActiveMQ All ve Apache ActiveMQ ürünlerinde Hatalı Girdi Doğrulaması ve Kod Üretiminin Hatalı Kontrolü ('Kod Enjeksiyonu') zafiyeti bulunmaktadır. Kimliği doğrulanmış bir saldırgan, eğer activemq-http modülü sınıf yolunda (classpath) mevcutsa, Jolokia üzerinden BrokerView.addNetworkConnector veya BrokerView.addConnector aracılığıyla bir HTTP Discovery taşıma katmanı kullanarak konnektör ekleyip CVE-2026-34197 için yayınlanan düzeltmeyi atlatabilir. Kötü niyetli bir HTTP uç noktası, HTTP URI üzerinden bir VM taşıma katmanı döndürerek CVE-2026-34197 ile eklenen doğrulamayı devre dışı bırakabilir. Saldırgan daha sonra, ResourceXmlApplicationContext kullanarak uzak bir Spring XML uygulama bağlamını yüklemek için VM taşıma katmanının brokerConfig parametresini kullanabilir. Spring'in ResourceXmlApplicationContext bileşeni, BrokerService yapılandırmayı doğrulamadan önce tüm singleton bean'lerini örneklediği için, Runtime.exec() gibi bean fabrika yöntemleri aracılığıyla broker'ın JVM'inde rastgele kod çalıştırma gerçekleşir. Bu sorun şu sürümleri etkilemektedir: Apache ActiveMQ Broker: 5.19.6 öncesi, 6.0.0 ile 6.2.5 arası; Apache ActiveMQ All: 5.19.6 öncesi, 6.0.0 ile 6.2.5 arası; Apache ActiveMQ: 5.19.6 öncesi, 6.0.0 ile 6.2.5 arası. Kullanıcıların sorunu gideren 5.19.6 veya 6.2.5 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache activemq5.19.6, 6.2.5 ya da sonraki bir sürüm
- apache activemq_broker5.19.6, 6.2.5 ya da sonraki bir sürüm
- org.apache.activemq:apache-activemq5.19.6, 6.2.5 ya da sonraki bir sürüm
- org.apache.activemq:activemq-all5.19.6, 6.2.5 ya da sonraki bir sürüm
- org.apache.activemq:activemq-broker5.19.6, 6.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache activemq | v < 5.19.6, 6.0.0 ≤ v < 6.2.5 | 5.19.6, 6.2.5 |
| apache activemq_broker | v < 5.19.6, 6.0.0 ≤ v < 6.2.5 | 5.19.6, 6.2.5 |
| org.apache.activemq:apache-activemqMaven | v < 5.19.6, 6.0.0 ≤ v < 6.2.5 | 5.19.6, 6.2.5 |
| org.apache.activemq:activemq-allMaven | v < 5.19.6, 6.0.0 ≤ v < 6.2.5 | 5.19.6, 6.2.5 |
| org.apache.activemq:activemq-brokerMaven | v < 5.19.6, 6.0.0 ≤ v < 6.2.5 | 5.19.6, 6.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.