JVNDB-2026-017842

Apache Software FoundationのApache ActiveMQ等の複数製品における複数の脆弱性

Apache ActiveMQ Broker、Apache ActiveMQ All、およびApache ActiveMQにおける、不適切な入力検証およびコード生成の制御不備（コードインジェクションの脆弱性）について説明します。Apache ActiveMQ Classicは、Webコンソール上の/api/jolokia/でJolokia JMX-HTTPブリッジを公開しています。デフォルトのJolokiaアクセスポリシーでは、すべてのActiveMQ MBeans（org.apache.activemq:*）、特にBrokerService.addNetworkConnector(String)に対するexec操作を許可しています。認証された攻撃者は、VMトランスポートのbrokerConfigパラメータを「masterslave://」URLを用いてトリガーする細工されたディスカバリURIを使ってこれらの操作を呼び出すことが可能であり、ResourceXmlApplicationContextを使用してSpringのXMLアプリケーションコンテキストを読み込めます。SpringのResourceXmlApplicationContextは、BrokerServiceが構成を検証する前にすべてのシングルトンBeanをインスタンス化するため、Runtime.exec()のようなBeanファクトリメソッドを通じて、ブローカーのJVM上で任意のコードを実行します。この問題はApache ActiveMQ Brokerの5.19.7未満、6.0.0から6.2.6未満、Apache ActiveMQ Allの5.19.7未満、6.0.0から6.2.6未満、およびApache ActiveMQの5.19.7未満、6.0.0から6.2.6未満に影響します。ユーザーには、この問題を修正したバージョン5.19.7または6.2.6へアップグレードすることを推奨します。

Apache Software Foundation

• ActiveMQ Broker 5.19.7 未満
• ActiveMQ Broker 6.0.0 以上 6.2.6 未満
• Apache ActiveMQ 5.19.7 未満
• Apache ActiveMQ 6.0.0 以上 6.2.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-42588: Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Remote Code Execution via Jolokia addNetworkConnector-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-42588: Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Remote Code Execution via Jolokia addNetworkConnector

1. 不適切な入力確認(CWE-20) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-42588

1. National Vulnerability Database (NVD) : CVE-2026-42588

• [2026年06月04日]
    掲載