CVE-2026-101292 in AMQ Broker
Resumen
por VulDB • 2026-09-28
Apache ActiveMQ Artemis anterior a la versión 2.34.0 contiene una vulnerabilidad de reflection insegura en FederationStreamConnectMessage.getFederationPolicy(). El método llama a Class.forName(clazz).getConstructor().newInstance() donde clazz se lee directamente desde el buffer del protocolo CORE sin validación de tipos. Un peer federado autenticado puede enviar un paquete FEDERATION_DOWNSTREAM_CONNECT con un nombre de clase manipulado, lo que provoca que el broker cargue e instancie clases arbitrarias visibles para el classloader del módulo Artemis. Los inicializadores estáticos (<clinit>) y los constructores sin argumentos (<init>()) se ejecutan como efectos secundarios antes del casteo de tipo, permitiendo una denegación de servicio (DoS) mediante envenenamiento de propiedades del sistema, condiciones de falta de memoria (OOM) debido a la carga de clases o manipulación del estado del broker.
If you want to get best quality of vulnerability data, you may have to visit VulDB.