Se recomienda a los usuarios de Apache ActiveMQ actualizar urgentemente sus despliegues debido a la detección de tres vulnerabilidades críticas: CVE-2026-53917, CVE-2026-54475 y CVE-2026-49877. Estos fallos, que afectan a las ramas 5.x y 6.x, exponen la infraestructura de mensajería a riesgos de denegación de servicio (DoS), ruptura del aislamiento y autorizaciones inadecuadas, lo que podría provocar caídas del gestor (broker) y accesos no autorizados.

Se recomienda a los usuarios de Apache ActiveMQ que actualicen urgentemente sus despliegues después de que se revelaran tres vulnerabilidades importantes, que exponen la infraestructura de mensajería a ataques de denegación de servicio (DoS), ruptura del aislamiento y riesgos de autorización inadecuada.

Los problemas, rastreados como CVE-2026-53917, CVE-2026-54475 y CVE-2026-49877, afectan a componentes centrales tanto en las ramas 5.x como 6.x y pueden provocar caídas del bróker y acceso no autorizado si no se instalan los parches.

CVE-2026-53917 es una vulnerabilidad de “Asignación de Memoria con Valor de Tamaño Excesivo” en Apache ActiveMQ, Apache ActiveMQ All, Apache ActiveMQ Client y Apache ActiveMQ Broker.

El fallo reside en la forma en que se desestucturan los mapas de propiedades de los mensajes OpenWire. Cuando un usuario autenticado envía un mensaje OpenWire manipulado con un tamaño de mapa codificado muy grande, el bróker intenta asignar memoria sin validar el tamaño.

Debido a que no hay una comprobación de límite superior en estas propiedades, el bróker puede alcanzar rápidamente una condición de falta de memoria (OOM), provocando que se bloquee y resulte en un DoS para cualquier aplicación que dependa de esa infraestructura de mensajería.

Esta vulnerabilidad afecta a Apache ActiveMQ antes de la versión 5.19.8 y desde la 6.0.0 antes de la 6.2.7, incluyendo los artefactos All, Client y Broker en los mismos rangos de versiones.

Vulnerabilidades de Apache ActiveMQ

Los entornos que dependen de clientes OpenWire están particularmente expuestos, ya que un solo cliente malicioso o comprometido puede derribar el bróker de manera fiable.

CVE-2026-54475 es una vulnerabilidad de “Falta de Autorización” que afecta a Apache ActiveMQ Broker, Apache ActiveMQ All y Apache ActiveMQ.

En ActiveMQ Classic, los destinos temporales están diseñados para estar aislados a la conexión que los creó, de modo que solo esa conexión puede consumir mensajes de su cola o tema temporal.

Sin embargo, este aislamiento se aplicaba únicamente en la lógica del cliente. El bróker no verificaba completamente la propiedad, lo que significa que una conexión diferente puede consumir mensajes del destino temporal de otra conexión.

Esto rompe el modelo de aislamiento esperado y permite el acceso no autorizado a flujos de mensajes transitorios. Este problema también afecta a las versiones de Broker, All y core de ActiveMQ 5.19.8 y anteriores, así como de la 6.0.0 a la 6.2.7.

En entornos de mensajería compartidos o multi-inquilino, esta debilidad puede permitir la filtración de datos o el acceso no deseado entre inquilinos si los atacantes pueden establecer conexiones separadas al mismo bróker.

CVE-2026-49877 es una vulnerabilidad de “Autorización Inadecuada” en la Consola Web de Apache ActiveMQ. Debido a una configuración de Jetty insegura por defecto, los usuarios de la Consola Web autenticados con bajos privilegios pueden, por defecto, acceder a rutas administrativas bajo /admin/*.

Los ajustes predeterminados de Jetty no restringían estos puntos finales de administración solo a los usuarios con roles administrativos, otorgando efectivamente acceso elevado a cuentas que no son administradores.

Por lo tanto, un usuario con pocos privilegios que se autentique en la Consola Web puede llegar a funciones administrativas críticas, cambiar ajustes o pivotar más allá desde la interfaz de gestión.

Al igual que los otros problemas, CVE-2026-49877 afecta a Apache ActiveMQ antes de 5.19.8 y desde 6.0.0 antes de 6.2.7. Esto lo convierte en una preocupación significativa para los despliegues que exponen la Consola Web para uso operativo.

Apache recomienda que todos los usuarios afectados actualicen inmediatamente a ActiveMQ 6.2.7 o 5.19.8.

Estas versiones introducen una validación de tamaño estricta para los mapas de propiedades OpenWire, aplican comprobaciones de propiedad en el lado del servidor para los destinos temporales y corrigen el comportamiento de autorización predeterminado en la Consola Web para que las rutas /admin/* estén limitadas a usuarios administrativos reales.

Junto con la aplicación de parches, debes restringir el acceso de red a los brókers y consolas, auditar los roles y permisos, y monitorizar el uso anormal de memoria, las caídas inesperadas del bróker y los intentos de acceso no autorizado.

Fuentes:
https://cybersecuritynews.com/apache-activemq-vulnerabilities/