Kerngegevens
- Leverancier
- Apache
- Soort software
- –
- Getroffen versies
- Apache ActiveMQ Broker vóór 5.19.4 en vanaf 6.0.0 vóór 6.2.3
- Apache ActiveMQ All vóór 5.19.4 en vanaf 6.0.0 vóór 6.2.3
- Apache ActiveMQ vóór 5.19.4 en vanaf 6.0.0 vóór 6.2.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Apache ActiveMQ Broker 5.19.4 en 6.2.3
- Apache ActiveMQ All 5.19.4 en 6.2.3
- Apache ActiveMQ 5.19.4 en 6.2.3
- CVE gepubliceerd
- 7 april 2026
- Op de KEV-lijst sinds
- 16 april 2026
- Gepubliceerd op LekkenRadar
- 27 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Apache ActiveMQ Classic zit een lek in de Jolokia-koppeling (/api/jolokia/) van de webconsole. Een aanvaller die kan inloggen, kan via die koppeling beheeropdrachten uitvoeren waarmee de broker een extern configuratiebestand laadt. Zo kan de aanvaller zelf gekozen code op de server laten draaien. Het lek wordt actief misbruikt sinds april 2026.
Wie loopt risico?
Je loopt risico als je een ActiveMQ-broker draait met een versie vóór 5.19.4, of een versie vanaf 6.0.0 vóór 6.2.3. De aanvaller moet kunnen inloggen en de webconsole via het netwerk kunnen bereiken. Een broker met een bereikbare webconsole is dus het meest kwetsbaar. Door de code-uitvoering kan de aanvaller de broker en de gegevens die erdoorheen gaan overnemen.
Wat moet je doen?
Controleer je versie
Kijk na welke ActiveMQ-versie je gebruikt. Versies vóór 5.19.4 en versies vanaf 6.0.0 vóór 6.2.3 zijn getroffen.
Werk ActiveMQ bij
Update naar versie 5.19.4 of 6.2.3. De leverancier raadt deze versies aan, want zij lossen het probleem op.
Beperk toegang tot de webconsole
Zorg dat de webconsole en de Jolokia-koppeling niet vanaf internet bereikbaar zijn. Sta alleen beheerders toe die er echt bij moeten.
Controleer accounts en logs
Kijk na of er onbekende accounts zijn en of er verdachte aanroepen naar /api/jolokia/ in je logs staan. Dat geldt vooral als je de update nog niet had uitgevoerd.
Volg het advies van de leverancier
Lees het advies van Apache ActiveMQ voor de details. Kun je nu niet bijwerken, beperk dan de blootstelling van de broker zo veel mogelijk.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De webconsole van Apache ActiveMQ Classic biedt de Jolokia JMX-HTTP-bridge aan op /api/jolokia/. Het standaardbeleid van Jolokia staat exec-operaties toe op alle ActiveMQ-MBeans (org.apache.activemq:*), waaronder BrokerService.addNetworkConnector(String) en BrokerService.addConnector(String). Een geauthenticeerde aanvaller kan deze operaties aanroepen met een speciaal opgebouwde discovery-URI. Daarmee laat de aanvaller de brokerConfig-parameter van de VM-transport een externe Spring XML-applicatiecontext laden via ResourceXmlApplicationContext. Spring maakt alle singleton-beans aan voordat BrokerService de configuratie valideert. Daardoor kan via bean-factorymethoden zoals Runtime.exec() willekeurige code draaien op de JVM van de broker.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-20 · Onjuiste validatie van invoer
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 98,3%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 16 april 2026
- Deadline van CISA
- 30 april 2026
- Gebruikt door ransomwaregroepen
- Niet bekend