Plateforme
java
Composant
org.apache.activemq:activemq-client
Corrigé dans
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
CVE-2026-33227 describes an improper validation and restriction of classpath path names vulnerability affecting Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ Web, and Apache ActiveMQ. This flaw allows an authenticated user to potentially load arbitrary resources by manipulating the "key" value during Stomp consumer creation or browsing messages in the Web console, leading to a classpath resource loading vulnerability. The vulnerability impacts versions up to 5.9.1, and a patch is available in version 5.19.3.
La vulnérabilité CVE-2026-33227 dans Apache ActiveMQ affecte plusieurs composants (Client, Broker, All, Web) en raison d'une validation inadéquate du chemin d'accès à la classe (classpath). Un utilisateur authentifié peut manipuler la valeur 'key' pour concaténer des chemins, accédant potentiellement à des ressources en dehors du répertoire de classe attendu. Cela pourrait permettre à un attaquant de lire des fichiers sensibles ou d'exécuter du code malveillant si des fichiers exécutables sont accessibles dans le classpath. La gravité de la vulnérabilité est notée CVSS 4.3, ce qui indique un risque modéré. L'exploitation réussie nécessite une authentification, mais l'impact potentiel est important, en particulier dans les environnements où ActiveMQ est utilisé pour transmettre des informations sensibles.
La vulnérabilité se manifeste dans deux scénarios : lors de la création d'un consommateur Stomp et lors de la navigation dans les messages de la console web. Dans les deux cas, un attaquant peut injecter des caractères spéciaux dans la valeur 'key' pour construire un chemin d'accès à la classe malveillant. La concaténation de chemins permet à l'attaquant d'accéder à des fichiers arbitraires sur le système de fichiers, à condition que le processus ActiveMQ dispose des autorisations nécessaires. La complexité de l'exploitation est relativement faible, car elle ne nécessite que l'authentification et la capacité de manipuler la valeur 'key'.
Statut de l'Exploit
EPSS
0.05% (percentile 15%)
Vecteur CVSS
La solution recommandée est de mettre à niveau vers la version 5.19.3 ou ultérieure d'Apache ActiveMQ. Cette version corrige la vulnérabilité en mettant en œuvre une validation plus stricte des chemins d'accès à la classe. En attendant, comme mesure temporaire, restreignez l'accès à la console web et limitez les privilèges des utilisateurs authentifiés. Il est essentiel de revoir la configuration d'ActiveMQ pour s'assurer que des chemins d'accès à la classe non standard ou des configurations qui pourraient faciliter l'exploitation ne sont pas utilisés. Surveiller les journaux d'ActiveMQ à la recherche de schémas suspects peut également aider à détecter les tentatives d'exploitation.
Actualice a la versión 5.19.4 o 6.2.3 de Apache ActiveMQ para mitigar la vulnerabilidad. En entornos Windows, asegúrese de actualizar a la versión 6.2.3 para corregir un error de resolución de separadores de ruta.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Les versions antérieures à 5.19.3 d'Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ Web et Apache ActiveMQ sont vulnérables.
Il est recommandé de mettre à jour tous les composants d'ActiveMQ vers la version 5.19.3 ou ultérieure pour garantir une sécurité maximale.
En tant que mesure temporaire, restreignez l'accès à la console web et limitez les privilèges des utilisateurs authentifiés. Examinez la configuration d'ActiveMQ et surveillez les journaux.
Un attaquant pourrait accéder à n'importe quel fichier auquel le processus ActiveMQ a accès, y compris les fichiers de configuration, les clés API et autres données sensibles.
Actuellement, il n'existe pas d'outils spécifiques pour détecter l'exploitation de cette vulnérabilité. La surveillance des journaux d'ActiveMQ à la recherche de schémas suspects est la meilleure option.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier pom.xml et nous te dirons instantanément si tu es affecté.