JVNDB-2026-011829

Apache Software FoundationのApache ActiveMQ等の複数製品における複数の脆弱性

Apache ActiveMQ BrokerおよびApache ActiveMQにおける不適切な入力検証および不適切なコード生成制御（コードインジェクション）の脆弱性です。Apache ActiveMQ Classicは、Webコンソールの/api/jolokia/にJolokia JMX-HTTPブリッジを公開しています。デフォルトのJolokiaアクセスポリシーは、BrokerService.addNetworkConnector(String)やBrokerService.addConnector(String)を含むすべてのActiveMQ MBeans（org.apache.activemq:*）に対するexec操作を許可しています。認証された攻撃者は、VMトランスポートのbrokerConfigパラメータがResourceXmlApplicationContextを使用してリモートのSpring XMLアプリケーションコンテキストをロードする仕組みを悪用した細工されたdiscovery URIを介して、これらの操作を呼び出すことができます。SpringのResourceXmlApplicationContextは、BrokerServiceが設定を検証する前にすべてのシングルトンBeanをインスタンス化するため、Runtime.exec()などのBeanファクトリーメソッドを通じてブローカーのJVM上で任意のコードを実行します。この問題はApache ActiveMQ Brokerバージョン5.19.4以前、6.0.0から6.2.3未満のバージョン、Apache ActiveMQ全体の同バージョンに影響があります。ユーザーはこの問題を修正したバージョン5.19.4または6.2.3へのアップグレードを推奨します。

Apache Software Foundation

• ActiveMQ Broker 5.19.4 未満
• ActiveMQ Broker 6.0.0 以上 6.2.3 未満
• Apache ActiveMQ 5.19.4 未満
• Apache ActiveMQ 6.0.0 以上 6.2.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache ActiveMQ : https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-34197: Apache ActiveMQ Broker, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans

1. 不適切な入力確認(CWE-20) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-34197

1. National Vulnerability Database (NVD) : CVE-2026-34197
2. CISA Known Exploited Vulnerabilities Catalog : CVE-2026-34197

• [2026年04月20日]
    掲載