CVE-2026-40466

Riepilogo

Vulnerabilità di convalida degli input non corretta (Improper Input Validation) e di controllo non corretto della generazione del codice ('Code Injection') in Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Un attaccante autenticato potrebbe aggirare la correzione di CVE-2026-34197 aggiungendo un connettore che utilizza un trasporto HTTP Discovery tramite BrokerView.addNetworkConnector o BrokerView.addConnector attraverso Jolokia, se il modulo activemq-http è presente nel classpath. Un endpoint HTTP dannoso può restituire un trasporto VM attraverso l'URI HTTP, aggirando la convalida aggiunta in CVE-2026-34197. L'attaccante può quindi utilizzare il parametro brokerConfig del trasporto VM per caricare un contesto applicativo Spring XML remoto utilizzando ResourceXmlApplicationContext. Poiché ResourceXmlApplicationContext di Spring istanzia tutti i bean singleton prima che BrokerService validi la configurazione, l'esecuzione di codice arbitrario avviene sulla JVM del broker tramite metodi factory dei bean come Runtime.exec(). Questo problema riguarda Apache ActiveMQ Broker: versioni precedenti alla 5.19.6 e dalla 6.0.0 precedenti alla 6.2.5; Apache ActiveMQ All: versioni precedenti alla 5.19.6 e dalla 6.0.0 precedenti alla 6.2.5; Apache ActiveMQ: versioni precedenti alla 5.19.6 e dalla 6.0.0 precedenti alla 6.2.5. Si consiglia agli utenti di aggiornare alla versione 5.19.6 o 6.2.5, che risolve il problema.

• ActiveMQ-EXPtoolsExploit

  Strumento completo di sfruttamento delle vulnerabilità di Apache ActiveMQ(CVE-2015-5254，CVE-2016-3088，CVE-2022-41678，CVE-2023-46604，CVE-2024-32114，CVE-2026-34197，CVE-2026-40466， CVE-2026-42588)