CVE-2026-40046

概要

Apache ActiveMQ 6.0.0 以降 で、MQTT 制御 パケット の remaining length フィールド に 対する バリデーション が 不十分 な 問題 です。これ は CVE-2025-66168 の 修正 が 5.19.2 のみ に 適用 され、6.0.0 以降 の メジャー バージョン ブランチ に 適用 されて いなかった こと に 起因 します。整数 オーバーフロー に より 予期 しない 動作 や サービス 停止 に つながる 可能性 が あります。

MQTT は IoT デバイス や メッセージング システム で 広く 使用 されて いる 軽量 プロトコル です。ActiveMQ を MQTT ブローカー と して 使用 して いる 環境 で、攻撃者 が 細工 した MQTT パケット を 送信 する こと で、ブローカー の サービス 停止 を 引き起こす 可能性 が あります。

この 脆弱性 は パッチ の 適用 漏れ と いう 典型的 な リグレッション 事例 です。5.19.x 系 では 修正 済み でした が、6.0.0 の リリース 時 に マージ されなかった ため、6.x 系 の ユーザー が 影響 を 受け ます。

CVSS ベクトル

影響 を 受ける ソフトウェア

影響 の 範囲

Apache ActiveMQ は エンタープライズ 環境 で 広く 利用 されて いる メッセージ ブローカー です。この 脆弱性 は MQTT プロトコル の 処理 に 影響 する ため、MQTT を 使用 して いない 環境（AMQP や OpenWire のみ を 使用 して いる 場合）は 直接 の 影響 を 受け ません。5.19.x 系 は 5.19.2 以降 で 修正 済み です。

修正 バージョン と 回避策

• 修正: ActiveMQ 6.2.4 または 5.19.2 以降（5.19.x 系 は 5.19.5 が 最新）
• 回避策: MQTT プロトコル を 使用 して いない 場合 は 直接 の 影響 なし。MQTT コネクタ を 無効 に する こと で 一時的 に リスク を 軽減 可能

関連 リンク

• NVD — CVE-2026-40046
• Apache セキュリティ アドバイザリ
• CVE-2025-66168（元 の 脆弱性）

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。