CVE-2026-34197
84.55%V4
2026-04-07
07h50 +00:00
07h50 +00:00
特定のCVEの通知
特定のCVEの変更情報をいち早くお届けします。
CVE の説明
Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans
Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ All: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.3. Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issueCVE の情報
関連する弱点
| 弱点名 | 出典 | |
|---|---|---|
| Improper Input Validation The product receives input or data, but it does not validate or incorrectly validates that the input has the properties that are required to process the data safely and correctly. |
||
| Improper Control of Generation of Code The product constructs all or part of a code segment using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the syntax or behavior of the intended code segment. |
CISA KEV（既知の悪用された脆弱性）
脆弱性名 : Apache ActiveMQ Improper Input Validation Vulnerability
必要な対策 : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
ランサムウェアキャンペーンでの悪用が確認済み : Unknown
追加日 : 2026-04-16 00h00 +00:00
対応期限 : 2026-04-30 00h00 +00:00
重要な情報
このCVEはCISA KEV（既知の悪用された脆弱性カタログ）により、積極的に悪用されている脆弱性として認定されています。CISAはこの脆弱性がサイバー犯罪者によって活発に悪用されていると判断しており、早急な対応を推奨しています。潜在的なサイバー攻撃からシステムを保護するために、このCVEのアップデートと修正対応を優先してください。
EPSS
EPSSは脆弱性が悪用される可能性を予測するスコアリングモデルです。
EPSSスコア
EPSSモデルは0から1（0〜100%）の確率スコアを算出します。スコアが高いほど、脆弱性が悪用される可能性が高いことを示します。
EPSSパーセンタイル
パーセンタイルはCVEをEPSSスコアで順位付けするために使用されます。例えば、EPSSスコアで95パーセンタイルにあるCVEは、他の95%のCVEよりも悪用される可能性が高いことを意味します。パーセンタイルはCVEのEPSSスコアを他のCVEと比較するために使用されます。
参考資料
https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
Tags : vendor-advisory
Tags : vendor-advisory
