JVNDB-2026-036546

Apache Software FoundationのApache Qpid Broker-Jにおけるセッションの固定化の脆弱性

HTTP管理認証におけるセッションフィクセーションにより、リモートの攻撃者が認証後に保持されるセッション識別子を再利用して、不正に認証済みの管理セッションへアクセスすることが可能になります。この問題は Apache Qpid Broker-J のバージョン 10.1.0 以前に影響を及ぼします。ユーザーは、この問題を修正したバージョン 10.1.1 にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Qpid Broker-J 10.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-92609: Apache Qpid Broker-J: Missing HTTP-session renewal after successful authentication - ASF Mailing List Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-92609: Apache Qpid Broker-J: Missing HTTP-session renewal after successful authentication

1. セッションの固定化(CWE-384) [その他]

1. CVE-2026-92609

1. National Vulnerability Database (NVD) : CVE-2026-92609

• [2026年10月06日]
    掲載