Apache ActiveMQ: спуфинг clientId при удалении подписки (CVE-2026-74761)
В Apache ActiveMQ, ActiveMQ Broker и ActiveMQ All обнаружена уязвимость некорректной проверки входных данных в компоненте TopicRegion. Аутентифицированный клиент может подменить clientId при удалении durable-подписки на топик. Проблема затрагивает версии до 5.19.11 и с 6.0.0 до 6.3.2; рекомендуется обновление.
Подробности
Уязвимость затрагивает три продукта Apache Software Foundation: Apache ActiveMQ Broker, Apache ActiveMQ All и Apache ActiveMQ, — на всех платформах. Согласно описанию, ошибка заключается в improper input validation в TopicRegion: аутентифицированный клиент получает возможность подменить clientId в операции удаления durable-подписки на топик. Поскольку durable-подписки сохраняются на брокере и привязаны к конкретному клиенту, подмена идентификатора позволяет воздействовать на чужую подписку — вплоть до её удаления. Уязвимы следующие версии: - Apache ActiveMQ Broker: до 5.19.11, а также с 6.0.0 до 6.3.2; - Apache ActiveMQ All: до 5.19.11, а также с 6.0.0 до 6.3.2; - Apache ActiveMQ: до 5.19.11, а также с 6.0.0 до 6.3.2. Для эксплуатации требуется наличие учётной записи, прошедшей аутентификацию, — то есть анонимный злоумышленник воспользоваться уязвимостью не сможет. Значение CVSS в записи CVE не приводится, поэтому количественная оценка критичности в источнике отсутствует. Тем не менее последствия затрагивают целостность подписок и могут привести к нарушению доставки сообщений законным потребителям, что для интеграционных сценариев на базе ActiveMQ критично.Что делать
Разработчики рекомендуют обновить продукт до версии 6.3.2 или 5.19.11, в которых проблема устранена. Организациям, использующим ActiveMQ, стоит в приоритетном порядке определить, какие версии брокеров применяются в инфраструктуре, и запланировать переход на исправленную сборку. До момента обновления можно рассмотреть компенсирующие меры: ограничение доступа к брокеру только доверенными клиентами, аудит учётных записей с правами на работу с durable-подписками, а также мониторинг операций удаления подписок на предмет аномалий. Важно учитывать, что такие меры не устраняют уязвимость полностью и служат лишь временным барьером. Итог: CVE-2026-74761 — уязвимость некорректной проверки входных данных в Apache ActiveMQ, позволяющая аутентифицированному клиенту подменять clientId при удалении durable-подписки. Затронуты версии до 5.19.11 и ветка 6.x до 6.3.2. Единственное надёжное решение — обновление до 5.19.11 или 6.3.2.Источник: CVE Project (cvelistV5)