Apache ActiveMQ: Cảnh báo 3 lỗ hổng CVE nghiêm trọng

Người dùng Apache ActiveMQ cần cập nhật khẩn cấp các bản triển khai sau khi ba lỗ hổng quan trọng được công bố, tiềm ẩn rủi ro tấn công từ chối dịch vụ (DoS), phá vỡ cô lập và cấp phép không đúng đắn cho cơ sở hạ tầng nhắn tin.

Ba Lỗ Hổng Nghiêm Trọng Ảnh Hưởng Apache ActiveMQ

Các vấn đề này, được theo dõi dưới mã định danh CVE-2026-53917, CVE-2026-54475 và CVE-2026-49877, tác động đến các thành phần cốt lõi trên cả hai nhánh phiên bản 5.x và 6.x. Nếu không được vá kịp thời, chúng có thể dẫn đến sự cố máy chủ (broker crash) và truy cập trái phép.

CVE-2026-53917: Lỗi Cấp Phát Bộ Nhớ Quá Kích Thước

Lỗ hổng này nằm trong cách Apache ActiveMQ xử lý việc giải nén (unmarshalling) bản đồ thuộc tính tin nhắn OpenWire. Khi một người dùng đã xác thực gửi một tin nhắn OpenWire được chế tạo đặc biệt với kích thước bản đồ được mã hóa rất lớn, máy chủ sẽ cố gắng cấp phát bộ nhớ mà không xác thực kích thước.

Do thiếu kiểm tra giới hạn trên cho các thuộc tính này, máy chủ có thể nhanh chóng gặp phải tình trạng hết bộ nhớ (OOM), dẫn đến việc máy chủ bị treo và gây ra trạng thái DoS cho bất kỳ ứng dụng nào phụ thuộc vào cơ sở hạ tầng nhắn tin đó.

Lỗ hổng này ảnh hưởng đến Apache ActiveMQ trước phiên bản 5.19.8 và từ phiên bản 6.0.0 trước 6.2.7, bao gồm các tạo phẩm (artifacts) All, Client và Broker trong cùng các phạm vi phiên bản.

Các môi trường sử dụng OpenWire client đặc biệt gặp rủi ro, vì một client độc hại hoặc bị xâm nhập duy nhất có thể làm sập máy chủ một cách đáng tin cậy. Việc vá lỗi này là một phần quan trọng trong các biện pháp an ninh mạng.

CVE-2026-54475: Thiếu Kiểm Tra Ủy Quyền Truy Cập Điểm Đến Tạm Thời

Lỗ hổng này liên quan đến việc ActiveMQ Classic thiết kế các điểm đến tạm thời (temporary destinations) để chỉ cô lập với kết nối đã tạo ra chúng. Về lý thuyết, chỉ kết nối đó mới có thể tiêu thụ tin nhắn từ hàng đợi hoặc chủ đề tạm thời của nó.

Tuy nhiên, cơ chế cô lập này chỉ được thực thi ở logic phía client. Máy chủ không xác minh đầy đủ quyền sở hữu, cho phép một kết nối khác có thể tiêu thụ tin nhắn từ điểm đến tạm thời của kết nối khác.

Điều này phá vỡ mô hình cô lập dự kiến, cho phép truy cập trái phép vào luồng tin nhắn tạm thời. Vấn đề này cũng ảnh hưởng đến các phiên bản Broker, All và core của ActiveMQ 5.19.8 trở về trước, cũng như các phiên bản từ 6.0.0 đến 6.2.7.

Trong môi trường nhắn tin đa người thuê (multi-tenant) hoặc dùng chung, lỗ hổng này có thể dẫn đến rò rỉ dữ liệu hoặc truy cập chéo không mong muốn giữa các người thuê nếu kẻ tấn công có thể thiết lập các kết nối riêng biệt đến cùng một máy chủ.

CVE-2026-49877: Ủy Quyền Không Đúng Đắn Trong Giao Diện Web Console

Lỗ hổng này nằm trong giao diện Web Console của Apache ActiveMQ. Do cấu hình Jetty mặc định không an toàn, người dùng Web Console đã được xác thực nhưng có đặc quyền thấp vẫn có thể truy cập các đường dẫn quản trị dưới /admin/* theo mặc định.

Cài đặt mặc định của Jetty đã không giới hạn các điểm cuối quản trị này chỉ cho người dùng có vai trò quản trị viên, do đó đã cấp quyền truy cập nâng cao cho các tài khoản không phải quản trị viên.

Một người dùng có đặc quyền thấp đã xác thực thành công vào Web Console có thể truy cập các chức năng quản trị quan trọng, thay đổi cài đặt hoặc thực hiện các hành động leo thang đặc quyền (pivot) từ giao diện quản lý.

Tương tự các vấn đề khác, CVE-2026-49877 ảnh hưởng đến Apache ActiveMQ trước phiên bản 5.19.8 và từ 6.0.0 trước 6.2.7. Đây là một mối quan ngại đáng kể đối với các triển khai mà giao diện Web Console được sử dụng cho mục đích vận hành.

Khuyến Nghị Cập Nhật và Các Biện Pháp Phòng Ngừa

Apache khuyến cáo tất cả người dùng bị ảnh hưởng nâng cấp ngay lập tức lên các phiên bản ActiveMQ 6.2.7 hoặc 5.19.8.

Các bản phát hành này bao gồm:

• Kiểm tra xác thực kích thước nghiêm ngặt cho bản đồ thuộc tính OpenWire.
• Thực thi kiểm tra quyền sở hữu phía máy chủ cho các điểm đến tạm thời.
• Sửa lỗi hành vi ủy quyền mặc định trong Web Console, đảm bảo các đường dẫn /admin/* chỉ giới hạn cho người dùng quản trị thực sự.

Ngoài việc vá lỗi, các tổ chức nên thực hiện các biện pháp sau:

• Hạn chế truy cập mạng đến máy chủ và giao diện quản lý.
• Kiểm tra định kỳ các vai trò và quyền hạn.
• Giám sát các dấu hiệu bất thường như mức sử dụng bộ nhớ cao, máy chủ gặp sự cố không mong muốn hoặc các nỗ lực truy cập trái phép. Việc này giúp phát hiện xâm nhập sớm.

Việc áp dụng các bản vá lỗi và biện pháp phòng ngừa là cần thiết để giảm thiểu rủi ro bảo mật liên quan đến các lỗ hổng đã được phát hiện. Một trong những nguồn thông tin hữu ích về các lỗ hổng mới nhất là từ National Vulnerability Database (NVD).

Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi các tổ chức phải liên tục cập nhật và tăng cường hệ thống phòng thủ của mình. Việc hiểu rõ các lỗ hổng mới nhất và cách chúng có thể bị khai thác là bước đầu tiên để bảo vệ hiệu quả hệ thống.