Apache ActiveMQ 6.3.3/5.19.12修复连接ID验证漏洞
CVE-2026-108946: Apache ActiveMQ, ActiveMQ Broker: The broker does not verify user provided connection id matches connection
推荐理由
涉及核心消息中间件的可利用安全漏洞，可能导致状态劫持。请运维与后端开发尽快升级至 6.3.3 或 5.19.12 以修复。
Posted by Christopher L. Shannon on Nov 03
由 Christopher L. Shannon 发布于 11 月 03 日
Severity: important
严重程度：重要
Affected versions:
受影响版本：
- Apache ActiveMQ 6.0.0 before 6.3.3
- Apache ActiveMQ before 5.19.12
- ActiveMQ Broker 6.0.0 before 6.3.3
- ActiveMQ Broker before 5.19.12
- Apache ActiveMQ 6.0.0 至 6.3.3 之前版本
- Apache ActiveMQ 5.19.12 之前版本
- ActiveMQ Broker 6.0.0 至 6.3.3 之前版本
- ActiveMQ Broker 5.19.12 之前版本
Description:
描述：
Improper input validation vulnerability in Apache ActiveMQ, Apache ActiveMQ KahaDB.
Apache ActiveMQ、Apache ActiveMQ KahaDB 中存在输入验证不当漏洞。
The ActiveMQ broker resolves connection, session and consumer state from ids that are user provided and in some
ActiveMQ 代理根据用户提供的 ID 解析连接、会话和消费者状态，并且在某些
scenarios does not validate that they ids are bound to...
场景中未验证这些 ID 是否已绑定到...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力