Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Incorrect handling of TLSv1.3 KeyUpdate can be exploited to cause DoS via OOM

Apache ActiveMQ Client、Apache ActiveMQ Broker、およびApache ActiveMQのCVE-2026-39304は、サービス拒否（DoS）のリスクをもたらします。具体的には、ActiveMQのNIO SSLトランスポートは、クライアントによってトリガーされるTLSv1.3ハンドシェイクKeyUpdatesを正しく処理しません。攻撃者は、これを悪用してKeyUpdatesを急速にトリガーし、ブローカーのSSLエンジンでメモリを使い果たさせることができます。これにより、ActiveMQがメッセージを処理したり、リクエストに応答したりできなくなり、サービスが停止します。CVSSの深刻度は7.5であり、高いリスクを示しています。この脅威を軽減するため、バージョン5.19.4以降にアップグレードすることが重要です。

Organizations utilizing Apache ActiveMQ for message queuing, particularly those using TLSv1.3 for secure communication, are at risk. Environments with legacy ActiveMQ deployments running older versions (≤5.9.1) are especially vulnerable. Any system relying on ActiveMQ for critical business processes faces potential disruption if this vulnerability is exploited.

• java / server:

ps -ef | grep -i activemq | grep -v grep

• java / server:

journalctl -u activemq | grep -i "KeyUpdate"

• generic web:

curl -I <activemq_broker_url> | grep TLS

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10Patch

   patch

1. 予約済み2026-04-06
2. 公開日2026-04-10
3. EPSS 更新日2026-04-17

CVE-2026-39304に対処するための主な解決策は、Apache ActiveMQ Client、Apache ActiveMQ Broker、またはApache ActiveMQをバージョン5.19.4以降にアップグレードすることです。このバージョンには、TLSv1.3 KeyUpdatesを正しく処理し、メモリの枯渇を防ぐ修正が含まれています。一時的な措置として、ブローカーへの許可されたTLSv1.3接続の数を制限するか、必須でない場合はTLSv1.3を無効にすることをお勧めします。ActiveMQブローカーのメモリ使用量を監視することは、潜在的な攻撃を検出するために不可欠です。信頼できないソースからのブローカーへのアクセスを制限するファイアウォールルールを実装することも、リスクを軽減するのに役立ちます。