つみかさね

CVE-2026-27446

Critical(9.8)

Apache ActiveMQ Artemisの認証不備 CVE-2026-27446：影響範囲と対応方法

公開日: 2026-09-19データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache ArtemisApache2.50.0 - 2.51.0
Apache ActiveMQ ArtemisApache2.11.0 - 2.44.0

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1ブローカーのバージョンと broker.xml の acceptor 設定（protocols パラメータ）を確認する
  2. 2Apache Artemis 2.52.0 へアップデートする
  3. 3更新が困難な場合は Core protocol の受け口制限・双方向SSL必須化・Core interceptor のいずれかを適用する

影響対象

Apache ActiveMQ Artemis 運用者メッセージング基盤の管理者

対応不要な人

  • ✓Apache ActiveMQ Artemis / Apache Artemis を使用していない
  • ✓Core protocol の受け口を信頼できる範囲に限定済み
  • ✓双方向SSL（証明書認証）を必須化済み
  • ✓既に 2.52.0 以降へ更新済み

補足

  • -信頼できない送信元からの受信Core接続と信頼できない宛先への送信Core接続の双方が可能な環境が対象
CVEApache ActiveMQ Artemis認証不備メッセージング

30秒で判断

  • 対応すべき人: Apache ActiveMQ Artemis / Apache Artemis を運用し、信頼できない送信元からのCore protocol接続を許可している方
  • 対応不要な人: Artemis を使用していない、Core protocol の受け口を信頼できる範囲に限定済み、双方向SSL（証明書認証）を必須化済み、修正版へ更新済みの方
  • 確認コマンド: ブローカーのバージョンと broker.xml の acceptor 設定（protocols パラメータ・ポート61616）を確認
  • クイックアクション: Apache Artemis 2.52.0 へアップデート

概要

Apache Artemis / Apache ActiveMQ Artemis の Core protocol に、重要な機能に対する認証不備（CWE-306）が見つかりました。認証されていないリモートの攻撃者が、対象ブローカーに対して攻撃者の管理する不正なブローカーへのアウトバウンドのCoreフェデレーション接続を確立させることができます。これにより、任意のキューへのメッセージ注入や、任意のキューからのメッセージ窃取につながる可能性があります。

影響を受けるのは、信頼できない送信元からの受信Core接続と、信頼できない宛先への送信Core接続の双方を許可している環境です。CVSSスコアは 9.8（Critical） と高く、メッセージ基盤の機密性・完全性に直結します。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-306（重要な機能に対する認証の欠如）
認証不要

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache ArtemisApache2.50.0 〜 2.51.0
Apache ActiveMQ ArtemisApache2.11.0 〜 2.44.0

修正バージョンと回避策

Apache Artemis 2.52.0 へのアップデートが推奨されます。すぐに更新できない場合は、以下のいずれかの緩和策が案内されています。

  • 信頼できない送信元から接続を受ける acceptor から Core protocol サポートを外す（acceptor の protocols パラメータで制御。パラメータ未指定のacceptorは既定で全プロトコルを許可）
  • 双方向SSL（証明書ベース認証）を用い、メッセージプロトコルのハンドシェイク前にクライアント証明書の提示を必須化する
  • Coreのダウンストリーム・フェデレーション接続パケットを拒否するCore interceptorを実装・展開する

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-27446
Apache Mailing Listhttps://lists.apache.org/thread/jwpsdc8tdxotm98od8n8n30fqlzoc8gg
Red Hat Erratahttps://access.redhat.com/errata/RHSA-2026:17668

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-27446
Apache Mailing List:https://lists.apache.org/thread/jwpsdc8tdxotm98od8n8n30fqlzoc8gg
Red Hat Errata:https://access.redhat.com/errata/RHSA-2026:17668
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。