CVE-2026-49270mediumCWE-1230

CVE-2026-49270: fallo de gravedad media en Apache ActiveMQ

Apache ActiveMQ Broker, Apache ActiveMQ, Apache ActiveMQ All: Durable Subscription Disclosure via Crafted BrokerInfo (OpenWire)

Publicada el

Seguir esta CVE+ Monitorear Apache ActiveMQ+ Monitorear Apache ActiveMQ All

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 0.4%
En resumen

Los brokers de Apache ActiveMQ con conectores de red pueden filtrar información sensible sobre suscripciones a atacantes no autenticados. Un atacante puede obtener detalles sobre suscripciones duraderas sin iniciar sesión.

Detalle técnico

Un atacante no autenticado puede enviar un comando BrokerInfo manipulado mediante el protocolo OpenWire a brokers configurados con syncDurableSubs=true, explotando la falta de verificación de autenticación para enumerar metadatos de suscripción duradera, incluyendo identificadores de cliente, nombres de suscripción, destinos y expresiones de selector JMS. La vulnerabilidad afecta versiones de ActiveMQ anteriores a 5.19.7 y 6.0.0-6.2.5, y requiere que el broker tenga conectores de red habilitados.

Resumen generado y traducido por IA a partir de la descripción oficial.
Exposure of Sensitive Information Through Metadata vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ, Apache ActiveMQ All. Brokers that are configured with a network connector with syncDurableSubs set to true, are vulnerable to an unauthenticated attacker who can receive a list of all durable topic subscriptions in the broker, including client identifiers, subscription names, topic destinations, and JMS selector expressions, by sending a BrokerInfo command. The broker incorrectly responds without first ensuring the connection is authenticated. This issue affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version 6.2.6 or 5.19.7, which fixes the issue.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Apache Software Foundation · Apache ActiveMQApache Software Foundation · Apache ActiveMQ AllApache Software Foundation · Apache ActiveMQ Broker
CVEs relacionadas — Apache ActiveMQ

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-46604CRITICALApache ActiveMQ, Apache ActiveMQ Legacy OpenWire Module: Unbounded deserialization causes ActiveMQ to be vulnerable to a remote code execution (RCE) attackEPSS 100.0%KEVCVE-2026-34197HIGHApache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeansEPSS 98.3%KEVCVE-2022-41678—Apache ActiveMQ: Insufficient API restrictions on Jolokia allow authenticated users to perform RCEEPSS 85.7%CVE-2018-8006—CVE-2018-8006EPSS 55.7%CVE-2017-15709—CVE-2017-15709EPSS 22.8%CVE-2021-26117—ActiveMQ: LDAP-Authentication does not verify passwords on servers with anonymous bindEPSS 11.3%