CVE-2026-40466

Resumo

Vulnerabilidade de Validação de Entrada Incorreta, Controle Incorreto da Geração de Código ('Injeção de Código') no Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Um atacante autenticado pode contornar a correção do CVE-2026-34197 adicionando um conector usando um transporte HTTP Discovery via BrokerView.addNetworkConnector ou BrokerView.addConnector por meio do Jolokia, se o módulo activemq-http estiver no classpath. Um endpoint HTTP malicioso pode retornar um transporte VM por meio do URI HTTP, o que contorna a validação adicionada no CVE-2026-34197. O atacante pode então usar o parâmetro brokerConfig do transporte VM para carregar um contexto de aplicação Spring XML remoto usando ResourceXmlApplicationContext. Como o ResourceXmlApplicationContext do Spring instancia todos os beans singleton antes que o BrokerService valide a configuração, ocorre execução de código arbitrário na JVM do broker por meio de métodos de fábrica de beans, como Runtime.exec(). Este problema afeta o Apache ActiveMQ Broker: antes de 5.19.6, de 6.0.0 a antes de 6.2.5; o Apache ActiveMQ All: antes de 5.19.6, de 6.0.0 a antes de 6.2.5; o Apache ActiveMQ: antes de 5.19.6, de 6.0.0 a antes de 6.2.5. Recomenda-se aos usuários atualizar para a versão 5.19.6 ou 6.2.5, que corrige o problema.

• ActiveMQ-EXPtoolsExploit

  Ferramenta abrangente de exploração de vulnerabilidades do Apache ActiveMQ (CVE-2015-5254, CVE-2016-3088, CVE-2022-41678, CVE-2023-46604, CVE-2024-32114, CVE-2026-34197, CVE-2026-40466, CVE-2026-42588)