CVE-2026-33227 in ActiveMQ Client
要約
〜によって VulDB • 2026年05月25日
Apache ActiveMQ Client、Apache ActiveMQ Broker、Apache ActiveMQ Allにおける、クラスパスパス名の不適切な検証および制限に関する脆弱性。
Stompコンシューマーの作成時およびWebコンソールでのメッセージ閲覧時の2つのケースにおいて、認証済みユーザーが提供した「key」値を、パス連結により構成することでクラスパスをトラバース可能となる。その結果、アプリケーションはクラスパスパスリソース読み込みの脆弱性に晒され、これが他の攻撃とチェーンされることで悪用される可能性がある。
本問題は、Apache ActiveMQ Client: 5.19.3より前、6.0.0以降で6.2.2より前、Apache ActiveMQ Broker: 5.19.3より前、6.0.0以降で6.2.2より前、Apache ActiveMQ All: 5.19.3より前、6.0.0以降で6.2.2より前に影響する。
ユーザーには、本問題を修正するバージョン5.19.4または6.2.3へのアップグレードを推奨する。注: 5.19.3および6.2.2も本問題を修正しているが、これらは5.19.4および6.2.3で修正されたパスセパレータ解決バグのため、Windows環境以外に限定される。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.