CVE-2026-39304 in ActiveMQ Client
Сводка
по VulDB • 11.06.2026
Уязвимость отказа в обслуживании (DoS) из-за исчерпания памяти (Out of Memory) в Apache ActiveMQ Client, Apache ActiveMQ Broker и Apache ActiveMQ.
Транспортные модули NIO SSL в ActiveMQ некорректно обрабатывают обновления ключей (KeyUpdates) рукопожатия TLSv1.3, инициируемые клиентами. Это позволяет клиенту быстро инициировать обновления, что приводит к исчерпанию всей доступной памяти в SSL-движке брокера и вызывает отказ в обслуживании (DoS).
Примечание: Версии TLS до TLSv1.3 (например, TLSv1.2) имеют недостатки, но не подвержены уязвимости OOM (Out of Memory). Предыдущие версии TLS требуют полного пересогласования рукопожатия, что приводит к зависанию соединения, но не к исчерпанию памяти (OOM). Эта проблема также исправлена.
Данная проблема затрагивает Apache ActiveMQ Client: до версии 5.19.4, начиная с 6.0.0 до 6.2.4; Apache ActiveMQ Broker: до версии 5.19.4, начиная с 6.0.0 до 6.2.4; Apache ActiveMQ: до версии 5.19.4, начиная с 6.0.0 до 6.2.4.
Пользователям рекомендуется обновиться до версии 6.2.4 или 5.19.5, в которой устранена данная проблема.
If you want to get best quality of vulnerability data, you may have to visit VulDB.