CVE-2026-39304 in ActiveMQ Client
Sumário
de VulDB • 02/06/2026
Denial of Service (DoS) devido a vulnerabilidade de Exaustão de Memória (Out of Memory - OOM) no Apache ActiveMQ Client, Apache ActiveMQ Broker e Apache ActiveMQ.
Os transportes NIO SSL do ActiveMQ não manipulam corretamente as atualizações de chave (KeyUpdates) do TLSv1.3 acionadas pelos clientes. Isso permite que um cliente acione rapidamente essas atualizações, fazendo com que o broker esgote toda a sua memória no motor SSL, resultando em DoS.
Nota: Versões do TLS anteriores ao TLSv1.3 (como o TLSv1.2) estão comprometidas, mas não são vulneráveis a OOM. Versões anteriores do TLS exigem uma renegociação completa do handshake, o que faz com que a conexão fique pendurada, mas não cause OOM. Isso também foi corrigido.
Este problema afeta o Apache ActiveMQ Client: antes de 5.19.4, de 6.0.0 antes de 6.2.4; Apache ActiveMQ Broker: antes de 5.19.4, de 6.0.0 antes de 6.2.4; Apache ActiveMQ: antes de 5.19.4, de 6.0.0 antes de 6.2.4.
Recomenda-se que os usuários atualizem para a versão 6.2.4 ou 5.19.5, que corrige o problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.