CVE-2026-92609: фиксация сессии в Apache Qpid Broker-J

В Apache Qpid Broker-J — брокере сообщений с поддержкой протокола AMQP — выявлена уязвимость, связанная с отсутствием обновления идентификатора HTTP-сессии после успешной аутентификации. Проблема получила идентификатор CVE-2026-92609.

Подробности

Уязвимость относится к классу «фиксация сессии» (session fixation). Она затрагивает механизм аутентификации в HTTP-интерфейсе управления брокером. Идентификатор сессии, выданный клиенту до прохождения проверки подлинности, сохраняется и после успешного входа, вместо того чтобы быть заменённым на новый. Это позволяет удалённому атакующему, способному навязать жертве заранее известный идентификатор сессии, впоследствии переиспользовать его и получить несанкционированный доступ к уже аутентифицированной сессии управления.

Под уязвимость попадают версии Apache Qpid Broker-J по 10.1.0 включительно. CVSS-оценка в опубликованной записи CVE не приведена. Следует учитывать, что эксплуатация требует наличия вектора для передачи жертве фиксированного идентификатора сессии, однако последствия успешной атаки затрагивают административный интерфейс и могут привести к полной компрометации управления брокером.

Что делать

Разработчики рекомендуют обновить Apache Qpid Broker-J до версии 10.1.1, в которой проблема устранена. Это основной и наиболее надёжный способ закрытия уязвимости.

Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить сетевой доступ к HTTP-интерфейсу управления (например, через firewall или правила reverse-proxy), разрешив подключения только с доверенных адресов администраторов; включить обязательное использование TLS для management-порта; усилить мониторинг журналов аутентификации на предмет подозрительных повторных использований сессий.

Уязвимость CVE-2026-92609 в Apache Qpid Broker-J связана с недостаточной ротацией идентификатора сессии при входе в систему управления. Организациям, использующим затронутые версии, рекомендуется как можно скорее перейти на 10.1.1 либо применить компенсирующие меры по ограничению доступа к административному интерфейсу.

Источник: CVE Project (cvelistV5)