プラットフォーム
java
コンポーネント
org.apache.activemq:activemq-client
修正版
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
6.2.2
5.19.3
CVE-2026-33227 describes an improper validation and restriction of classpath path names vulnerability affecting Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ Web, and Apache ActiveMQ. This flaw allows an authenticated user to potentially load arbitrary resources by manipulating the "key" value during Stomp consumer creation or browsing messages in the Web console, leading to a classpath resource loading vulnerability. The vulnerability impacts versions up to 5.9.1, and a patch is available in version 5.19.3.
Apache ActiveMQのCVE-2026-33227は、クラスパスのパスの不適切な検証が原因で、いくつかのコンポーネント（Client、Broker、All、Web）に影響を与えます。認証されたユーザーは、'key'値を操作してパスを連結し、予期されるクラスディレクトリ外のリソースにアクセスする可能性があります。これにより、攻撃者は実行可能ファイルがクラスパス内にアクセス可能な場合に、機密ファイルを読み取ったり、悪意のあるコードを実行したりする可能性があります。この脆弱性の深刻度はCVSS 4.3と評価されており、中程度のリスクを示しています。 攻撃の成功には認証が必要ですが、潜在的な影響は大きく、特にActiveMQが機密情報を送信するために使用される環境において重要です。
この脆弱性は、Stompコンシューマーの作成時とWebコンソールでメッセージを閲覧する際の2つのシナリオで発生します。どちらの場合も、攻撃者は'key'値に特殊文字を挿入して、悪意のあるクラスパスを作成できます。パス連結により、攻撃者はActiveMQプロセスに必要な権限があることを条件に、ファイルシステム上の任意のファイルにアクセスできます。悪用の複雑さは比較的低く、認証と'key'値の操作能力のみが必要です。
エクスプロイト状況
EPSS
0.05% (15% パーセンタイル)
CVSS ベクトル
推奨される解決策は、Apache ActiveMQをバージョン5.19.3以降にアップグレードすることです。このバージョンは、クラスパスパスの検証を厳格に実装することにより、脆弱性を修正します。その間、一時的な措置として、Webコンソールへのアクセスを制限し、認証されたユーザーの権限を制限してください。ActiveMQの設定を確認して、非標準のクラスパスや、悪用を容易にする可能性のある構成を使用していないことを確認することが重要です。ActiveMQログを疑わしいパターンで監視することも、悪用試行を検出するのに役立ちます。
Actualice a la versión 5.19.4 o 6.2.3 de Apache ActiveMQ para mitigar la vulnerabilidad. En entornos Windows, asegúrese de actualizar a la versión 6.2.3 para corregir un error de resolución de separadores de ruta.
脆弱性分析と重要アラートをメールでお届けします。
Apache ActiveMQ Client、Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ Web、およびApache ActiveMQの5.19.3以前のバージョンが脆弱です。
最大限のセキュリティを確保するために、ActiveMQのすべてのコンポーネントをバージョン5.19.3以降に更新することをお勧めします。
一時的な措置として、Webコンソールへのアクセスを制限し、認証されたユーザーの権限を制限してください。ActiveMQの設定を確認し、ログを監視してください。
攻撃者は、ActiveMQプロセスがアクセスできるファイル、構成ファイル、APIキー、その他の機密データなど、あらゆるファイルにアクセスできる可能性があります。
現在、この脆弱性の悪用を検出するための特定のツールはありません。ActiveMQログを疑わしいパターンで監視することが最良のオプションです。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
pom.xml ファイルをアップロードすると、影響の有無を即座にお知らせします。