CVE-2026-101292 in AMQ Broker
Zusammenfassung
von VulDB • 28.09.2026
Apache ActiveMQ Artemis vor Version 2.34.0 enthält eine unsichere Reflection-Schwachstelle in FederationStreamConnectMessage.getFederationPolicy(). Die Methode ruft Class.forName(clazz).getConstructor().newInstance() auf, wobei clazz direkt aus dem CORE-Protokoll-Wire-Puffer ohne Typvalidierung gelesen wird. Ein authentifizierter Federation-Peer kann ein FEDERATION_DOWNSTREAM_CONNECT-Paket mit einem manipulierten Klassennamen senden, wodurch der Broker beliebige Klassen lädt und instanziiert, die für den Artemis-Module-Classloader sichtbar sind. Statische Initializer (<clinit>) und parameterlose Konstruktoren (<init>()) werden als Seiteneffekte vor dem Typcast ausgeführt, was zu einer Denial-of-Service-Bedingung durch System-Eigenschafts-Vergiftung (system-property poisoning), Out-of-Memory-Zuständen beim Laden von Klassen oder zur Manipulation des Broker-Status führen kann.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.