CVE-2026-27446 in Artemis
Riassunto
di VulDB • 15/06/2026
Vulnerabilità di Mancata Autenticazione per Funzioni Critiche (CWE-306) in Apache Artemis, Apache ActiveMQ Artemis. Un attaccante remoto non autenticato può utilizzare il protocollo Core per costringere un broker target a stabilire una connessione federativa Core in uscita verso un broker malevolo controllato dall'attaccante. Ciò potrebbe potenzialmente comportare l'iniezione di messaggi in qualsiasi coda e/o la sottrazione (exfiltration) di messaggi da qualsiasi coda tramite il broker malevolo. Questo impatta gli ambienti che consentono entrambi i seguenti scenari:
- connessioni in entrata del protocollo Core provenienti da fonti non attendibili verso il broker - connessioni in uscita del protocollo Core dal broker verso destinazioni non attendibili
Questo problema interessa:
- Apache Artemis dalla versione 2.50.0 alla 2.51.0 - Apache ActiveMQ Artemis dalla versione 2.11.0 alla 2.44.0.
Si consiglia agli utenti di effettuare l'aggiornamento ad Apache Artemis versione 2.52.0, che risolve il problema.
Il problema può essere mitigato mediante una delle seguenti azioni:
- Rimuovere il supporto al protocollo Core da qualsiasi acceptor (accettore) che riceve connessioni da fonti non attendibili. Le connessioni in entrata del protocollo Core sono supportate di default tramite l'acceptor "artemis" in ascolto sulla porta 61616. Vedere il parametro URL "protocols" configurato per l'accettore. Un URL dell'accettore senza questo parametro supporta tutti i protocolli di default, incluso Core.
- Utilizzare SSL a due vie (ovvero autenticazione basata su certificati) al fine di obbligare ogni client a presentare il certificato SSL corretto quando stabilisce una connessione prima che venga tentato qualsiasi handshake del protocollo dei messaggi. Ciò impedirà lo sfruttamento non autenticato di questa vulnerabilità.
- Implementare e distribuire un interceptor Core per negare tutti i pacchetti di connessione federativa downstream Core. Tali pacchetti hanno tipo (int) -16 o (byte) 0xfffffff0. La documentazione sugli interceptors è disponibile all'indirizzo https://artemis.apache.org/components/artemis/documentation/latest/intercepting-operations.html .
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.