Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache ActiveMQ opravuje 4 zraniteľnosti
Apache Software Foundation verziami 5.19.5 a 6.2.4 opravuje 4 zraniteľnosti v produktoch Apache ActiveMQ (Classic, All, Broker, Client, MQTT) [1][2][3][4]. Najzávažnejšie z nich sú popísané nižšie, pričom zraniteľnosť CVE-2026-34197 je už aktívne zneužívaná [5].
Autentizovanému vzdialenému útočníkovi je cez rozhranie Jolokia API v komponente Broker Apache ActiveMQ (vrátane distribúcie All) za určitých podmienok umožnené spustiť kód v systéme [1][6]. Zneužitie tejto zraniteľnosti výrazne uľahčuje používanie predvolených prihlasovacích údajov a tiež úplná absencia autentizácie pri niektorých verziách radu 6 [7]. Detailné informácie o zraniteľnosti nájdete na [1][6].
Zraniteľnosť sa nachádza v produktoch:
- Apache ActiveMQ; <5.19.4; >=6.0.0, <6.2.3;
- Apache ActiveMQ Broker; <5.19.4; >=6.0.0, <6.2.3;
- Apache ActiveMQ All; <5.19.4; >=6.0.0, <6.2.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-34197 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 7. 4. 2026.
Neautentizovanému vzdialenému útočníkovi je v Apache ActiveMQ (komponenty Broker aj Client) v rámci NIO SSL transportov umožnené zasielaním TLSv1.3 KeyUpdate správ vykonať útok DoS [2][8].
Zraniteľnosť sa nachádza v produktoch:
- Apache ActiveMQ; <5.19.4; >=6.0.0, <6.2.4;
- Apache ActiveMQ Broker; <5.19.4; >=6.0.0, <6.2.4;
- Apache ActiveMQ Client; <5.19.4; >=6.0.0, <6.2.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-39304 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 4. 2026.
Neautentizovanému vzdialenému útočníkovi je v Apache ActiveMQ (vrátane distribúcie All a špecificky v module pre protokol MQTT) zaslaním špeciálne upraveného MQTT kontrolného paketu umožnené vykonať útok DoS [3][9]. Táto zraniteľnosť je regresiou skoršej chyby CVE-2025-66168 [10].
Zraniteľnosť sa nachádza v produktoch:
- Apache ActiveMQ; <5.19.2; >=6.0.0, <6.2.4;
- Apache ActiveMQ All; <5.19.2; >=6.0.0, <6.2.4;
- Apache ActiveMQ MQTT; <5.19.2; >=6.0.0, <6.2.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-40046 na cve.org, NVD
- CWE-190: Integer Overflow or Wraparound na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 4. 2026.
Odkazy
- [1] https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
- [2] https://activemq.apache.org/security-advisories.data/CVE-2026-39304-announcement.txt
- [3] https://activemq.apache.org/security-advisories.data/CVE-2026-40046-announcement.txt
- [4] https://activemq.apache.org/security-advisories.data/CVE-2026-33227-announcement.txt
- [5] https://www.cisa.gov/news-events/alerts/2026/04/16/cisa-adds-one-known-exploited-vulnerability-catalog
- [6] https://nvd.nist.gov/vuln/detail/CVE-2026-34197
- [7] https://thehackernews.com/2026/04/apache-activemq-cve-2026-34197-added-to.html
- [8] https://nvd.nist.gov/vuln/detail/CVE-2026-39304
- [9] https://nvd.nist.gov/vuln/detail/CVE-2026-40046
- [10] https://nvd.nist.gov/vuln/detail/CVE-2025-66168
Za CESNET, z.s.p.o. Michaela Ručková dňa 22. 4. 2026.