ActiveMQ 5.19.12/6.3.3 修复 CVE-2026-111821：客户端标识符注入
CVE-2026-111821: Apache ActiveMQ, Apache ActiveMQ KahaDB: Oversized client identifier strings poison the KahaDB journal
推荐理由
ActiveMQ 是许多后端系统的核心消息中间件，此漏洞可直接导致底层 KahaDB 日志被恶意数据污染，属于必须升级才能免受影响的严重安全修复。请检查运行环境并立即升级至 5.19.12 或 6.3.3。
Posted by Christopher L. Shannon on Nov 03
由 Christopher L. Shannon 发布于 11 月 03 日
Severity: important
严重程度：重要
Affected versions:
受影响版本：
- Apache ActiveMQ 6.0.0 before 6.3.3
- Apache ActiveMQ before 5.19.12
- Apache ActiveMQ KahaDB 6.0.0 before 6.3.3
- Apache ActiveMQ KahaDB before 5.19.12
- Apache ActiveMQ 6.0.0 至 6.3.3 之前版本
- Apache ActiveMQ 5.19.12 之前版本
- Apache ActiveMQ KahaDB 6.0.0 至 6.3.3 之前版本
- Apache ActiveMQ KahaDB 5.19.12 之前版本
Description:
描述：
Improper input validation vulnerability in Apache ActiveMQ, Apache ActiveMQ KahaDB.
Apache ActiveMQ、Apache ActiveMQ KahaDB 中存在输入验证不当漏洞。
A user can create a durable subscription with a clientId and subscription name that have a combined length > 65,535
用户可以创建一个持久订阅，其 clientId 和订阅名称的组合长度 > 65,535
(while separately being shorter)...
（而各自单独的长度较短）...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力