JVNDB-2026-011871

Apache Software FoundationのApache ActiveMQ等の複数製品におけるパストラバーサルの脆弱性

Apache ActiveMQ Client、Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ Web、および Apache ActiveMQ において、クラスパスのパス名の検証および制限が不適切である脆弱性が存在します。認証済みユーザーが提供した "key" 値が、Stomp コンシューマの作成時および Web コンソールでのメッセージ閲覧時の二つのケースでパス結合によりクラスパス横断を引き起こす可能性があります。その結果、アプリケーションはクラスパスのパスリソース読み込みに関する脆弱性にさらされ、他の攻撃と連鎖して悪用される恐れがあります。この問題は、Apache ActiveMQ Client の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ Broker の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ All の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ Web の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ の 5.19.3 未満、6.0.0 から 6.2.2 未満に影響します。ユーザーはこの問題を修正したバージョン 5.19.4 または 6.2.3 へアップグレードすることを推奨します。なお、5.19.3 および 6.2.2 もこの問題を修正していますが、パス区切り文字の解決に関するバグは 5.19.4 および 6.2.3 で修正されているため、問題の影響は Windows 以外の環境に限定されています。

Apache Software Foundation

• ActiveMQ Broker 5.19.3 未満
• ActiveMQ Broker 6.0.0 以上 6.2.2 未満
• ActiveMQ Web 5.19.3 未満
• ActiveMQ Web 6.0.0 以上 6.2.2 未満
• Apache ActiveMQ 5.19.3 未満
• Apache ActiveMQ 6.0.0 以上 6.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache ActiveMQ : https://activemq.apache.org/security-advisories.data/CVE-2026-33227-announcement.txt

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-33227: Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ, Apache ActiveMQ Web: Improper Limitation of a Pathname to a Restricted Directory

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-33227

1. National Vulnerability Database (NVD) : CVE-2026-33227

• [2026年04月21日]
    掲載