JVN#20669184
Apache ActiveMQシリーズにおけるMQTTパケット検証不備の脆弱性［AMQ-9810］

The Apache Software Foundationが提供するApache ActiveMQシリーズでは、MQTTパケットの検証が適切に行われていません。

• Apache ActiveMQ 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン
• Apache ActiveMQ All モジュール 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン
• Apache ActiveMQ MQTT モジュール 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン

The Apache Software Foundationが提供するApache ActiveMQシリーズではMQTTパケットの検証が適切に行われておらず、整数オーバーフローが発生して想定外の動作につながる可能性があります。
Apache ActiveMQシリーズには、次の脆弱性が存在します。

• 整数オーバーフローまたはラップアラウンド（CWE-190）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 5.3
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N 基本値 5.4
  • CVE-2025-66168、CVE-2026-40046

細工されたMQTTパケットを適切に処理できず、想定外の動作が発生する可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。