CVE-2026-40466

概要

Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ における、不適切な入力検証、コード生成の不適切な制御（'コードインジェクション'）の脆弱性。認証された攻撃者は、activemq-http モジュールがクラスパス上にある場合、Jolokia を介して BrokerView.addNetworkConnector または BrokerView.addConnector を使用し、HTTP Discovery トランスポートを使ったコネクタを追加することで、CVE-2026-34197 の修正を回避する可能性があります。悪意のある HTTP エンドポイントは、HTTP URI を介して VM トランスポートを返すことができ、CVE-2026-34197 で追加された検証を回避します。攻撃者はその後、VM トランスポートの brokerConfig パラメータを使用して、ResourceXmlApplicationContext を用いてリモートの Spring XML アプリケーションコンテキストをロードできます。Spring の ResourceXmlApplicationContext は、BrokerService が設定を検証する前にすべてのシングルトンビーンをインスタンス化するため、Runtime.exec() などのビーンファクトリメソッドを介してブローカーの JVM 上で任意のコード実行が発生します。この問題は、Apache ActiveMQ Broker: 5.19.6 未満、6.0.0 から 6.2.5 未満、Apache ActiveMQ All: 5.19.6 未満、6.0.0 から 6.2.5 未満、Apache ActiveMQ: 5.19.6 未満、6.0.0 から 6.2.5 未満に影響します。ユーザーは、この問題を修正したバージョン 5.19.6 または 6.2.5 にアップグレードすることを推奨します。

• ActiveMQ-EXPtoolsエクスプロイト

  Apache ActiveMQの脆弱性を総合的に利用するツール(CVE-2015-5254，CVE-2016-3088，CVE-2022-41678，CVE-2023-46604，CVE-2024-32114，CVE-2026-34197，CVE-2026-40466， CVE-2026-42588)