JVNDB-2026-027119

Apache Software FoundationのApache ActiveMQ等の複数製品における認可に関する脆弱性

Apache ActiveMQ Broker、Apache ActiveMQ All、およびApache ActiveMQにおける不適切な認可の脆弱性について説明します。認証された低権限ユーザーが、実際のキューをカンマ区切りで複合化した物理名を持つActiveMQの一時的な複合宛先（temporary composite destination）にメッセージを送信することで、宛先ごとの書き込みACLを回避することができます。これは、複合宛先が一時的としてマークされているため認可チェックがバイパスされ、リスト内の任意の宛先に対して正しい書き込みACL権限がなくてもメッセージを送信できるためです。この問題は、Apache ActiveMQ Brokerのバージョン5.19.9未満および6.0.0から6.2.8未満、Apache ActiveMQ Allの同じバージョン範囲、ならびにApache ActiveMQの同範囲のバージョンに影響します。ユーザーには、この問題を修正したバージョン5.19.9、6.2.8または6.3.0へアップグレードすることを推奨します。

Apache Software Foundation

• ActiveMQ All 5.19.9 未満
• ActiveMQ All 6.0.0 以上 6.2.8 未満
• ActiveMQ Broker 5.19.9 未満
• ActiveMQ Broker 6.0.0 以上 6.2.8 未満
• Apache ActiveMQ 5.19.9 未満
• Apache ActiveMQ 6.0.0 以上 6.2.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-61487: Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authorization bypass via temporary composite destinations-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-61487: Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authorization bypass via temporary composite destinations

1. 不適切な認可(CWE-285) [その他]

1. CVE-2026-61487

1. National Vulnerability Database (NVD) : CVE-2026-61487

• [2026年08月06日]
    掲載