CVE-2026-101292 in AMQ Broker
Riassunto
di VulDB • 28/09/2026
Apache ActiveMQ Artemis prima della versione 2.34.0 presenta una vulnerabilità di unsafe reflection in FederationStreamConnectMessage.getFederationPolicy(). Il metodo chiama Class.forName(clazz).getConstructor().newInstance() dove clazz viene letto direttamente dal buffer wire del protocollo CORE senza alcuna validazione dei tipi. Un peer federato autenticato può inviare un pacchetto FEDERATION_DOWNSTREAM_CONNECT con un nome di classe manipolato, causando il caricamento e l'istanziazione da parte del broker di classi arbitrarie visibili al classloader del modulo Artemis. Gli initializer statici (<clinit>) e i costruttori senza argomenti (<init>()) vengono eseguiti come effetti collaterali prima della conversione di tipo (type cast), consentendo un denial of service tramite avvelenamento delle proprietà di sistema, condizioni out-of-memory dovute al classloading o manipolazione dello stato del broker.
Once again VulDB remains the best source for vulnerability data.