Οι διαχειριστές πληροφοριακών συστημάτων και οι οργανισμοί που χρησιμοποιούν το Apache ActiveMQ καλούνται να προχωρήσουν χωρίς καθυστέρηση στην αναβάθμιση των εγκαταστάσεών τους, μετά την αποκάλυψη τριών σοβαρών ευπαθειών ασφαλείας που θα μπορούσαν να οδηγήσουν σε κατάρρευση υπηρεσιών (DoS), μη εξουσιοδοτημένη πρόσβαση σε δεδομένα και παραβίαση κρίσιμων μηχανισμών διαχείρισης.
Τα προβλήματα ασφαλείας, που έχουν καταχωριστεί ως CVE-2026-53917, CVE-2026-54475 και CVE-2026-49877, επηρεάζουν τόσο τη σειρά εκδόσεων 5.x όσο και τη νεότερη 6.x του Apache ActiveMQ. Σύμφωνα με τις πληροφορίες που δημοσιεύθηκαν, οι αδυναμίες εντοπίζονται σε βασικά υποσυστήματα του message broker και μπορούν, υπό συγκεκριμένες συνθήκες, να αξιοποιηθούν από πιστοποιημένους χρήστες για την εκτέλεση επιθέσεων ή την απόκτηση προνομίων που δεν θα έπρεπε να διαθέτουν.
Το Apache ActiveMQ αποτελεί βασικό στοιχείο πολλών εταιρικών υποδομών
Το Apache ActiveMQ χρησιμοποιείται ευρέως ως πλατφόρμα ανταλλαγής μηνυμάτων μεταξύ εφαρμογών, διακομιστών και υπηρεσιών σε εταιρικά περιβάλλοντα. Η αξιοπιστία του το έχει καταστήσει ιδιαίτερα δημοφιλές σε επιχειρήσεις, τράπεζες, παρόχους τηλεπικοινωνιών, κυβερνητικούς οργανισμούς και cloud υποδομές, όπου η αδιάλειπτη επικοινωνία μεταξύ διαφορετικών συστημάτων αποτελεί κρίσιμο παράγοντα λειτουργίας.
Δείτε επίσης: Η Adobe φέρνει δεύτερο Patch Tuesday κάθε μήνα
Ακριβώς λόγω της σημασίας του, οποιαδήποτε ευπάθεια στον μηχανισμό λειτουργίας του μπορεί να έχει εκτεταμένες επιπτώσεις, ιδιαίτερα σε περιβάλλοντα παραγωγής που εξυπηρετούν μεγάλο αριθμό εφαρμογών ταυτόχρονα.
Η πρώτη ευπάθεια μπορεί να προκαλέσει κατάρρευση του broker
Η σοβαρότερη από τις τρεις αδυναμίες αφορά το CVE-2026-53917, το οποίο σχετίζεται με τον τρόπο που το ActiveMQ επεξεργάζεται δεδομένα του πρωτοκόλλου OpenWire.
Συγκεκριμένα, ένας πιστοποιημένος χρήστης μπορεί να αποστείλει ειδικά διαμορφωμένα μηνύματα που περιλαμβάνουν υπερβολικά μεγάλο όγκο δεδομένων στις ιδιότητες των μηνυμάτων. Επειδή ο broker δεν εφαρμόζει επαρκείς ελέγχους στο μέγεθος αυτών των πληροφοριών, επιχειρεί να δεσμεύσει τεράστιες ποσότητες μνήμης.
Το αποτέλεσμα μπορεί να είναι η εξάντληση της διαθέσιμης μνήμης (Out of Memory), η κατάρρευση της υπηρεσίας και τελικά η εκδήλωση επίθεσης Denial of Service (DoS). Σε περιβάλλοντα όπου πολλές εφαρμογές βασίζονται στον ίδιο broker, ακόμη και μία επιτυχής επίθεση μπορεί να διακόψει κρίσιμες επιχειρησιακές λειτουργίες.
Παραβίαση της απομόνωσης μεταξύ συνδέσεων
Η δεύτερη ευπάθεια, CVE-2026-54475, αποκαλύπτει ένα πρόβλημα στον τρόπο με τον οποίο το ActiveMQ διαχειρίζεται τα temporary destinations. Κανονικά, στο ActiveMQ Classic, τα temporary destinations έχουν σχεδιαστεί ώστε να είναι απομονωμένα στη σύνδεση που τα δημιούργησε, επομένως μόνο αυτή η σύνδεση μπορεί να καταναλώνει μηνύματα από το προσωρινό queue ή topic. Ωστόσο, οι ερευνητές διαπίστωσαν ότι ο έλεγχος αυτός πραγματοποιούνταν κυρίως στην πλευρά του client και όχι στον ίδιο τον broker.
Αυτό σημαίνει ότι διαφορετικές συνδέσεις θα μπορούσαν, υπό προϋποθέσεις, να αποκτήσουν πρόσβαση σε μηνύματα που προορίζονταν για άλλους χρήστες.
Δείτε επίσης: Σοβαρές ευπάθειες στα WatchGuard Firebox: Κίνδυνος παραβίασης firewall
Σε υποδομές όπου πολλοί πελάτες ή διαφορετικοί οργανισμοί μοιράζονται τον ίδιο message broker, το συγκεκριμένο πρόβλημα θα μπορούσε να οδηγήσει σε διαρροή ευαίσθητων πληροφοριών ή σε παραβίαση της απομόνωσης μεταξύ διαφορετικών υπηρεσιών.
Αυξημένα δικαιώματα μέσω Web Console
Η τρίτη ευπάθεια, CVE-2026-49877, αφορά την κονσόλα διαχείρισης του ActiveMQ. Οι ειδικοί διαπίστωσαν ότι η προεπιλεγμένη διαμόρφωση του Jetty επέτρεπε σε χρήστες με περιορισμένα δικαιώματα να αποκτούν πρόσβαση σε διαδρομές διαχείρισης που κανονικά προορίζονται αποκλειστικά για διαχειριστές.
Έτσι, ένας απλός πιστοποιημένος χρήστης θα μπορούσε να εκτελέσει ενέργειες που επηρεάζουν τη λειτουργία του broker, να τροποποιήσει ρυθμίσεις ασφαλείας ή ακόμη και να χρησιμοποιήσει την πρόσβαση αυτή ως εφαλτήριο για περαιτέρω επιθέσεις μέσα στο εταιρικό δίκτυο.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Πρόκειται για ένα ιδιαίτερα κρίσιμο ζήτημα για οργανισμούς που έχουν εκθέσει την κονσόλα διαχείρισης σε εσωτερικά ή απομακρυσμένα περιβάλλοντα εργασίας.
Ποιες εκδόσεις επηρεάζονται
Οι ευπάθειες επηρεάζουν όλες τις εκδόσεις του Apache ActiveMQ πριν από την 5.19.8, καθώς και τις εκδόσεις από 6.0.0 έως και πριν από την 6.2.7.
Οι διορθωμένες εκδόσεις ενσωματώνουν σημαντικές αλλαγές ασφαλείας, όπως αυστηρό έλεγχο μεγέθους στα OpenWire property maps, επιβεβαίωση κυριότητας των προσωρινών προορισμών απευθείας από τον broker και σωστή εφαρμογή των δικαιωμάτων πρόσβασης στην κονσόλα διαχείρισης.
Δείτε επίσης: CVE-2026-45659: Το SharePoint RCE bug στο CISA KEV
Οι συστάσεις προς τους διαχειριστές
Η αναβάθμιση στις εκδόσεις 5.19.8 ή 6.2.7 αποτελεί την πλέον αποτελεσματική λύση και συνιστάται να πραγματοποιηθεί άμεσα.
Παράλληλα, οι ειδικοί ασφαλείας προτείνουν τον περιορισμό της πρόσβασης στους brokers και στις κονσόλες διαχείρισης μόνο από αξιόπιστα δίκτυα, την εφαρμογή ισχυρής αυθεντικοποίησης για όλους τους λογαριασμούς διαχειριστών και τον τακτικό έλεγχο των ρόλων χρηστών ώστε να αποφεύγονται υπερβολικά δικαιώματα.
Εξίσου σημαντική θεωρείται η συνεχής παρακολούθηση της λειτουργίας του broker για ασυνήθιστη κατανάλωση μνήμης, απρόσμενες επανεκκινήσεις ή ανεξήγητες προσπάθειες πρόσβασης στην κονσόλα διαχείρισης. Σε μια εποχή όπου οι επιθέσεις στις εταιρικές υποδομές γίνονται ολοένα πιο εξελιγμένες, η έγκαιρη εφαρμογή των ενημερώσεων ασφαλείας παραμένει η αποτελεσματικότερη άμυνα απέναντι στις σύγχρονες κυβερνοαπειλές.
