CVE-2026-45505
Açıklama
Apache ActiveMQ Broker, Apache ActiveMQ All ve Apache ActiveMQ üzerinde Hatalı Girdi Doğrulaması ve Kod Üretiminin Hatalı Kontrolü ('Kod Enjeksiyonu') zafiyeti bulunmaktadır. `masterslave:vm://...,...` ve `static:vm://...` gibi parantez içine alınmamış keşif sarmalayıcıları doğrulamayı hatalı bir şekilde geçerek CVE-2026-34197 için yayınlanan düzeltmenin atlatılmasına izin vermektedir. CVE-2026-34197'den orijinal açıklama: Apache ActiveMQ, web konsolu üzerindeki /api/jolokia/ adresinde Jolokia JMX-HTTP köprüsünü sunmaktadır. Varsayılan Jolokia erişim politikası, BrokerService.addNetworkConnector(String) ve BrokerService.addConnector(String) dahil olmak üzere tüm ActiveMQ MBean'leri (org.apache.activemq:*) üzerinde exec işlemlerine izin verir. Kimliği doğrulanmış bir saldırgan, ResourceXmlApplicationContext kullanarak uzak bir Spring XML uygulama bağlamını yüklemek için VM taşımasının brokerConfig parametresini tetikleyen özel olarak hazırlanmış bir keşif URI'si ile bu işlemleri çağırabilir. Spring'in ResourceXmlApplicationContext sınıfı, BrokerService yapılandırmayı doğrulamadan önce tüm singleton bean'lerini örneklendirdiği için, Runtime.exec() gibi bean fabrika yöntemleri aracılığıyla broker'ın JVM'inde rastgele kod çalıştırma gerçekleşir. Bu sorun şu sürümleri etkilemektedir: Apache ActiveMQ Broker: 5.19.7 öncesi, 6.0.0 ile 6.2.6 arası; Apache ActiveMQ All: 5.19.7 öncesi, 6.0.0 ile 6.2.6 arası; Apache ActiveMQ: 5.19.7 öncesi, 6.0.0 ile 6.2.6 arası. Kullanıcıların sorunu gideren 5.19.7 veya 6.2.6 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache activemq5.19.7, 6.2.6 ya da sonraki bir sürüm
- apache activemq_broker5.19.7, 6.2.6 ya da sonraki bir sürüm
- org.apache.activemq:activemq-broker5.19.7, 6.2.6 ya da sonraki bir sürüm
- org.apache.activemq:activemq-all5.19.7, 6.2.6 ya da sonraki bir sürüm
- org.apache.activemq:apache-activemq5.19.7, 6.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache activemq | v < 5.19.7, 6.0.0 ≤ v < 6.2.6 | 5.19.7, 6.2.6 |
| apache activemq_broker | v < 5.19.7, 6.0.0 ≤ v < 6.2.6 | 5.19.7, 6.2.6 |
| org.apache.activemq:activemq-brokerMaven | v < 5.19.7, 6.0.0 ≤ v < 6.2.6 | 5.19.7, 6.2.6 |
| org.apache.activemq:activemq-allMaven | v < 5.19.7, 6.0.0 ≤ v < 6.2.6 | 5.19.7, 6.2.6 |
| org.apache.activemq:apache-activemqMaven | v < 5.19.7, 6.0.0 ≤ v < 6.2.6 | 5.19.7, 6.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.