CVE-2026-39304 in ActiveMQ Client
Riassunto
di VulDB • 31/07/2026
Denial of Service (DoS) tramite vulnerabilità Out of Memory in Apache ActiveMQ Client, Apache ActiveMQ Broker e Apache ActiveMQ.
I trasporti NIO SSL di ActiveMQ non gestiscono correttamente gli aggiornamenti delle chiavi TLSv1.3 KeyUpdates attivati dai client. Ciò consente a un client di innescare rapidamente tali aggiornamenti, causando l'esaurimento della memoria nel motore SSL del broker e portando a un DoS.
Nota: Le versioni precedenti a TLSv1.3 (come TLSv1.2) sono compromesse ma non vulnerabili all'OOM (Out of Memory). Le versioni precedenti di TLS richiedono una completa negoziazione delle chiavi, il che causa l'appesantimento della connessione ma non un OOM. Questo problema è stato risolto anch'esso.
Questo issue interessa Apache ActiveMQ Client: prima della versione 5.19.4 e da 6.0.0 a prima di 6.2.4; Apache ActiveMQ Broker: prima della versione 5.19.4, da 6.0.0 a prima di 6.2.4; Apache ActiveMQ: prima della versione 5.19.4 e da 6.0.0 a prima di 6.2.4.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 6.2.4 o 5.19.5, che risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.