【要点】
◎Apache ActiveMQ Classicで13年間潜伏していたRCE脆弱性が見つかり、別の欠陥と組み合わせると認証なしで悪用される恐れがあるため、早急な更新が必要だ (SecurityWeek)
【訳】
Apache ActiveMQ Classicに13年間潜んでいたRCEの脆弱性
【要約】
Apache ActiveMQ Classicに、Jolokia APIとVMトランスポート機能の連鎖により、リモート設定ファイルを読み込ませてOSコマンドを実行できる脆弱性CVE-2026-34197が発見された。通常は認証が必要だが、バージョン6.0.0～6.1.1では別の欠陥CVE-2024-32114によりJolokia APIが認証不要で公開されるため、認証なしのRCEに至る可能性がある。修正は5.19.4および6.2.3で提供されており、利用者には速やかな更新が推奨されている。
【ニュース】
◆RCE Bug Lurked in Apache ActiveMQ Classic for 13 Years (SecurityWeek, 2026/04/08 10:30)
[Apache ActiveMQ Classicに13年間潜んでいたRCEの脆弱性]The vulnerability requires authentication for successful exploitation, but another flaw exposes the Jolokia API without authentication.
[この脆弱性を悪用するには認証が必要ですが、別の欠陥により、認証なしでJolokia APIが公開されてしまいます。]https://www.securityweek.com/rce-bug-lurked-in-apache-activemq-classic-for-13-years/
【関連まとめ記事】
◆Apache ActiveMQ (まとめ)
https://vul.hatenadiary.com/entry/Apache_ActiveMQ
