Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache ActiveMQ opravuje 2 zraniteľnosti
Apache Software Foundation verziami 5.19.7 a 6.2.6 opravuje 2 zraniteľnosti v produktoch Apache ActiveMQ (Classic, All, Broker) [1][2].
Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je kvôli nesprávnemu predvolenému nastaveniu oprávnení v autorizácii Jolokia umožnené vykonávať administračné operácie správy brokera, ako sú addQueue a removeQueue [1].
Zraniteľnosť sa nachádza v produkte:
- Apache ActiveMQ; <5.19.7; >=6.0.0, <6.2.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-49157 na cve.org, NVD
- CWE-276: Incorrect Default Permissions na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 5. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli chýbajúcemu overeniu autentizácie pri spracovaní príkazu BrokerInfo umožnené získať zoznam trvalých (durable) odberov tém vrátane identifikátorov klientov, názvov odberov, cieľových tém a JMS selektorov [2].
Zraniteľnosť sa nachádza v produktoch:
- Apache ActiveMQ; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6
- Apache ActiveMQ All; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6
- Apache ActiveMQ Broker; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2026-49270 na cve.org, NVD
- CWE-1230: Exposure of Sensitive Information Through Metadata na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 31. 5. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 2. 6. 2026.