JVNDB-2026-013541

Apache Software FoundationのApache ActiveMQ等の複数製品における複数の脆弱性

Apache ActiveMQ、Apache ActiveMQ Broker、Apache ActiveMQ Allにおける、不適切な入力検証およびコード生成の制御不備（コードインジェクション）の脆弱性です。認証された攻撃者は、管理ウェブコンソールページを使用して名前検証を回避する悪意のあるブローカー名を構築でき、これによりVMトランスポートが後にリモートのSpring XMLアプリケーションをロードするためのxbeanバインディングを含めることが可能となります。攻撃者はDestinationView mbeanを用いてメッセージを送信し、VMトランスポートの生成を引き起こし、この悪意のあるブローカー名を参照させることで悪意のあるSpring XMLコンテキストファイルを読み込ませることができます。SpringのResourceXmlApplicationContextは、BrokerServiceが設定を検証する前にすべてのシングルトンビーンをインスタンス化するため、Runtime.exec()などのビーンファクトリメソッドを通じてブローカーのJVM上で任意のコードを実行させる可能性があります。この問題はApache ActiveMQの5.19.6未満のバージョン、6.0.0から6.2.5未満のバージョン、Apache ActiveMQ Brokerの同様のバージョン範囲、およびApache ActiveMQ Allの同様のバージョン範囲に影響します。ユーザーはこの問題を修正した6.2.5または5.19.6へのアップグレードを推奨します。

Apache Software Foundation

• ActiveMQ Broker 5.19.6 未満
• ActiveMQ Broker 6.0.0 以上 6.2.5 未満
• Apache ActiveMQ 5.19.6 未満
• Apache ActiveMQ 6.0.0 以上 6.2.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache ActiveMQ : https://activemq.apache.org/security-advisories.data/CVE-2026-41044-announcement.txt

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-41044: Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ All: Authenticated user can perform RCE via DestinationView MBean exposed by Jolokia

1. 不適切な入力確認(CWE-20) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-41044

1. National Vulnerability Database (NVD) : CVE-2026-41044

• [2026年04月30日]
    掲載