Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ 中的輸入驗證不當、程式碼產生控制不當 （「程式碼插入」） 漏洞。非括號的探索包裝函式 （例如 'masterslave：vm：//...,...' 和 'static：vm：//...'） 錯誤地通過驗證，允許繞過 中的修正 CVE-2026-34197。原始描述來自 CVE-2026-34197。Apache ActiveMQ 在 Web 主控台上的 /api/jolokia/ 公開 Jolokia JMX-HTTP 橋接器。預設的 Jolokia 存取原則允許在所有 ActiveMQ MBean （org.apache.activemq：*） 上執行執行作業，包括 BrokerService.addNetworkConnector（String） 和 BrokerService.addConnector（String）。經過身份驗證的攻擊者可以使用特製的發現 UR 叫用這些操作，該 UR 會觸發 VM 傳輸的 brokerConfig 參數，以使用 ResourceXmlApplicationContext 載入遠端 Spring XML 應用程式內容。由於 Spring 的 ResourceXmlApplicationContext 會在 BrokerService 驗證配置之前實例化所有單例 Bean，因此透過 Bean Factory 方法（例如 Runtime.exec（））在代理程式的 JVM 上執行任意程式碼。此問題影響 Apache ActiveMQ Broker： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ All： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ：之前 5.19.7，從 6.0.0 之前 6.2.6。建議使用者升級至 5.19.7 或 6.2.6 版，即可修正此問題。(CVE-2026-45505)

  - Apache ActiveMQ Broker 中的輸入驗證不當、程式碼產生控制不當 （「程式碼插入」） 弱點，Apache ActiveMQ全部，Apache ActiveMQ。非括號內的探索包裝函式 （例如 'masterslave：vm：//...,...' 和 'static：vm：//...'） 錯誤地通過驗證，允許繞過 中的 CVE-2026-34197修正。原始描述來自 CVE-2026-34197。Apache ActiveMQ 在 Web 主控台上的 /api/jolokia/ 公開 Jolokia JMX-HTTP 橋接器。預設的 Jolokia 存取原則允許在所有 ActiveMQ MBean （org.apache.activemq：*） 上執行執行作業，包括 BrokerService.addNetworkConnector（String） 和 BrokerService.addConnector（String）。經過身份驗證的攻擊者可以使用特製的發現 UR 叫用這些操作，該 UR 會觸發 VM 傳輸的 brokerConfig 參數，以使用 ResourceXmlApplicationContext 載入遠端 Spring XML 應用程式內容。由於 Spring 的 ResourceXmlApplicationContext 會在 BrokerService 驗證配置之前實例化所有單例 Bean，因此透過 Bean Factory 方法（例如 Runtime.exec（））在代理程式的 JVM 上執行任意程式碼。此問題影響 Apache ActiveMQ Broker： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ All： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ：之前 5.19.7，從 6.2.6 之前。 6.0.0 建議使用者升級至 5.19.76.2.6或 版本，以修正此問題。（CVE-2026-45505）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上執行的 Apache ActiveMQ 版本早 5.19.7 於或 6.x 早於 6.2.6。因此，會受到多個弱點影響：

  - Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ 中的輸入驗證不當、程式碼產生控制不當 （「程式碼插入」） 漏洞。非括號的探索包裝函式，例如 masterslave：vm：//...,...和 static：vm：//...錯誤地通過驗證，允許繞過 中的 CVE-2026-34197修正。經過驗證的攻擊者可以使用特製的發現 URI 叫用這些作業，該 URI 會觸發 VM 傳輸的 brokerConfig 參數，以使用 ResourceXmlApplicationContext 載入遠端 Spring XML 應用程式內容。由於 Spring 的 ResourceXmlApplicationContext 會在 BrokerService 驗證配置之前實例化所有單例 Bean，因此透過 Bean Factory 方法（例如 Runtime.exec（））在代理程式的 JVM 上執行任意程式碼。（CVE-2026-45505）

  - Apache ActiveMQ 伺服器的授權不完整，允許經過驗證的連線以適當的權限移除現有目的地。（CVE-2026-46605）

  - Apache ActiveMQ 中的錯誤預設權限弱點。預設的 Jolokia 授權設定授予非管理員（低權限）Web 登入帳戶對 Jolokia 操作的存取權限，從而允許執行適用於管理員的代理管理操作，例如 addQueue 和 removeQueue。（CVE-2026-49157）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache ActiveMQ Broker、Apache ActiveMQ all、Apache ActiveMQ 中存在不正确的输入验证、对代码生成的不当控制（“代码注入”）漏洞。“masterslave：vm：//...,...”和“static：vm：//...”等非括号内的发现封装程序未正确传递验证，从而允许绕过 中的补丁 CVE-2026-34197。原始描述来自 CVE-2026-34197。Apache ActiveMQ 在 Web 控制台上的 /api/jolokia/ 处暴露 Jolokia JMX-HTTP 桥接。默认 Jolokia 访问策略允许对所有 ActiveMQ MBean （org.apache.activemq：*） 执行 exec 操作，包括 BrokerService.addNetworkConnector（String） 和 BrokerService.addConnector（String）。经身份验证的攻击者可以通过构建的发现 UR 调用这些操作，该 UR 会触发 VM 传输的 brokerConfig 参数，以使用 ResourceXmlApplicationContext 加载远程 Spring XML 应用程序上下文。由于 Spring 的 ResourceXmlApplicationContext 在 BrokerService 验证配置之前实例化所有单例 bean，因此通过 bean factory 方法（例如 Runtime.exec（））在代理的 JVM 上执行任意代码。此问题影响 Apache ActiveMQ 代理：之前 5.19.7， 从 6.0.0 之前 6.2.6;Apache ActiveMQ All： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ： before 5.19.7， from 6.0.0 before 6.2.6. 建议用户升级到修复了此问题的版本 5.19.7 或 6.2.6。(CVE-2026-45505)

  - Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ 中的不当输入验证、不当控制代码生成（“代码注入”）漏洞。“masterslave：vm：//...,...”和“static：vm：//...”等带括号的发现封装程序未正确传递验证，从而允许绕过 中的补丁 CVE-2026-34197。原始描述来自 CVE-2026-34197。Apache ActiveMQ 在 Web 控制台上的 /api/jolokia/ 处暴露 Jolokia JMX-HTTP 桥接。默认 Jolokia 访问策略允许对所有 ActiveMQ MBean （org.apache.activemq：*） 执行 exec 操作，包括 BrokerService.addNetworkConnector（String） 和 BrokerService.addConnector（String）。经身份验证的攻击者可以通过构建的发现 UR 调用这些操作，该 UR 会触发 VM 传输的 brokerConfig 参数，以使用 ResourceXmlApplicationContext 加载远程 Spring XML 应用程序上下文。由于 Spring 的 ResourceXmlApplicationContext 在 BrokerService 验证配置之前实例化所有单例 bean，因此通过 bean factory 方法（例如 Runtime.exec（））在代理的 JVM 上执行任意代码。此问题影响 Apache ActiveMQ 代理：之前 5.19.7， 从 6.0.0 之前 6.2.6;Apache ActiveMQ All： before 5.19.7， from 6.0.0 before 6.2.6;Apache ActiveMQ：低于 5.19.7、 低于 6.2.6 6.0.0 。建议用户升级到 5.19.7 版本 或 6.2.6，其中修复了此问题。（CVE-2026-45505）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上运行的 Apache ActiveMQ 版本低于或6.x低于 5.19.76.2.6。因此，该应用程序受到多个漏洞的影响：

  - Apache ActiveMQ Broker、Apache ActiveMQ all、Apache ActiveMQ 中存在不正确的输入验证、对代码生成的不当控制（“代码注入”）漏洞。非括号内的发现封装程序，如 masterslave：vm：//...,...和 static：vm：//...错误地传递验证，从而允许绕过 中的补丁 CVE-2026-34197。经身份验证的攻击者可以使用特制的发现 URI 调用这些操作，该 URI 会触发 VM 传输的 brokerConfig 参数，以使用 ResourceXmlApplicationContext 加载远程 Spring XML 应用程序上下文。由于 Spring 的 ResourceXmlApplicationContext 在 BrokerService 验证配置之前实例化所有单例 bean，因此通过 bean factory 方法（例如 Runtime.exec（））在代理的 JVM 上执行任意代码。（CVE-2026-45505）

  - Apache ActiveMQ 服务器的不完整授权允许经过认证的连接以适当的权限删除现有目标。（CVE-2026-46605）

  - Apache ActiveMQ 中的错误默认权限漏洞。默认 Jolokia 授权设置授予非管理员（低权限）Web 登录帐户访问 Jolokia 操作的权限，从而允许执行面向管理员的代理管理操作，例如 addQueue 和 removeQueue。（CVE-2026-49157）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache ActiveMQ Broker における不適切な入力検証、コード生成の不適切な制御(「コードインジェクション」)の脆弱性、すべてApache ActiveMQ Apache ActiveMQ。「masterslave:vm://...,...」や「static:vm://...」などの括弧のないディスカバリーラッパーが誤って検証を通過するため、 CVE-2026-34197で修正がバイパスされる可能性があります。CVE-2026-34197からの元の説明。Apache ActiveMQ は、Web コンソールの /api/jolokia/ で Jolokia JMX-HTTP ブリッジを公開します。デフォルトの Jolokia アクセスポリシーは、BrokerService.addNetworkConnector(String) および BrokerService.addConnector(String) を含むすべての ActiveMQ MBean(org.apache.activemq:*)での実行操作を許可しています。認証された攻撃者が、VMトランスポートのbrokerConfigパラメーターをトリガーしてResourceXmlApplicationContextを使用してリモートSpring XMLアプリケーションコンテキストをロードする細工された検出URでこれらの操作を呼び出すことができます。Spring の ResourceXmlApplicationContext は、BrokerService が構成を検証する前にすべてのシングルトン Bean をインスタンス化するため、Runtime.exec() などの Bean ファクトリーメソッドを介して、ブローカーの JVM で任意のコード実行が発生します。この問題は、Apache ActiveMQ Broker に影響を与えます:5.19.7 より前、6.2.6 より前の 6.0.0 から、Apache ActiveMQ すべて:5.19.7の前、6.0.0から6.2.6の前。Apache ActiveMQ:5.19.7前、6.0.0から6.2.6前。ユーザーには、この問題を修正したバージョンであるバージョン 5.19.7 または 6.2.6 へのアップグレードをお勧めします。(CVE-2026-45505)

  - Apache ActiveMQ Broker での不適切な入力検証、コード生成の不適切な制御(「コードインジェクション」)の脆弱性、Apache ActiveMQすべて、Apache ActiveMQ。「masterslave:vm://...,...」や「static:vm://...」などの括弧のないディスカバリーラッパーが誤って検証をパスし、 CVE-2026-34197 で修正がバイパスされる可能性があります。 CVE-2026-34197からの元の説明。Apache ActiveMQ は、Web コンソールの /api/jolokia/ で Jolokia JMX-HTTP ブリッジを公開します。デフォルトの Jolokia アクセスポリシーは、BrokerService.addNetworkConnector(String) および BrokerService.addConnector(String) を含むすべての ActiveMQ MBean(org.apache.activemq:*)での実行操作を許可しています。認証された攻撃者が、VMトランスポートのbrokerConfigパラメーターをトリガーしてResourceXmlApplicationContextを使用してリモートSpring XMLアプリケーションコンテキストをロードする細工された検出URでこれらの操作を呼び出すことができます。Spring の ResourceXmlApplicationContext は、BrokerService が構成を検証する前にすべてのシングルトン Bean をインスタンス化するため、Runtime.exec() などの Bean ファクトリーメソッドを介して、ブローカーの JVM で任意のコード実行が発生します。この問題は、Apache ActiveMQ Broker に影響を与えます:5.19.7 より前、6.2.6 より前の 6.0.0 から、Apache ActiveMQ すべて:5.19.7の前、6.0.0から6.2.6の前。Apache ActiveMQ:5.19.7 より前、6.2.6 より前の 6.0.0 から。ユーザーは、この問題を修正するバージョン 5.19.7 または 6.2.6 にアップグレードすることが推奨されます。(CVE-2026-45505)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストで実行されているApache ActiveMQのバージョンは、5.19.7より前か、6.2.6より前の6.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - Apache ActiveMQ Broker における不適切な入力検証、コード生成の不適切な制御(「コードインジェクション」)の脆弱性、すべてApache ActiveMQ Apache ActiveMQ。masterslave:vm://...などの括弧で囲まれていない検出ラッパー,...および static:vm://...検証を不適切に渡すことにより、 CVE-2026-34197 での修正がバイパスされる可能性があります。認証された攻撃者が、VMトランスポートのbrokerConfigパラメーターをトリガーしてResourceXmlApplicationContextを使用してリモートのSpring XMLアプリケーションコンテキストをロードするように細工された検出URIを使用して、これらの操作を呼び出すことができます。Spring の ResourceXmlApplicationContext は、BrokerService が構成を検証する前にすべてのシングルトン Bean をインスタンス化するため、Runtime.exec() などの Bean ファクトリーメソッドを介して、ブローカーの JVM で任意のコード実行が発生します。(CVE-2026-45505)

  - Apache ActiveMQ サーバーによる認証が不完全なために、認証された接続が適切な権限で既存の宛先を削除することが可能です。(CVE-2026-46605)

  - Apache ActiveMQ での不適切なデフォルト権限の脆弱性。デフォルトの Jolokia 認証設定が、管理者以外の(低い権限の)Web ログインアカウントに Jolokia 操作へのアクセス権を付与します。これにより、addQueue や removeQueue などの管理者用のブローカー管理操作を実行できました。(CVE-2026-49157)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in     Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Non-parenthesized discovery wrappers such as     `masterslave:vm://...,...` and `static:vm://...` incorrectly pass validation allowing bypass of fix in     CVE-2026-34197. Original description from CVE-2026-34197. Apache ActiveMQ exposes the Jolokia JMX-HTTP     bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on     all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and     BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted     discovery UR that triggers the VM transport's brokerConfig parameter to load a remote Spring XML     application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext     instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code     execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue     affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before     5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6. Users are     recommended to upgrade to version 5.19.7 or 6.2.6, which fixes the issue. (CVE-2026-45505)

  - Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in     Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ.Non-parenthesized discovery wrappers such as     `masterslave:vm://...,...`and `static:vm://...` incorrectly pass validation allowing bypass of fix in     CVE-2026-34197.Original description from CVE-2026-34197.Apache ActiveMQ exposes the Jolokia JMX-HTTP     bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on     all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and     BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted     discovery UR that triggers the VM transport's brokerConfig parameter to load a remote Spring XML     application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext     instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code     execution occurs on the broker's JVM through bean factory methods such as Runtime.exec().This issue     affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before     5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6.Users are     recommended to upgrade to version 5.19.7 or 6.2.6, which fixes the issue. (CVE-2026-45505)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Apache ActiveMQ running on the remote host is prior to 5.19.7 or 6.x prior to 6.2.6. It is, therefore, affected by multiple vulnerabilities:

  - Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache     ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Non-parenthesized discovery wrappers such as     masterslave:vm://...,... and static:vm://... incorrectly pass validation allowing bypass of fix in     CVE-2026-34197. An authenticated attacker can invoke these operations with a crafted discovery URI that triggers     the VM transport's brokerConfig parameter to load a remote Spring XML application context using     ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans     before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through     bean factory methods such as Runtime.exec(). (CVE-2026-45505)

  - Incomplete authorization by Apache ActiveMQ server allows authenticated connections to remove existing     destinations with proper permissions. (CVE-2026-46605)

  - Incorrect Default Permissions vulnerability in Apache ActiveMQ. The default Jolokia authorization settings     granted non-admin (low-privilege) web-login accounts access to Jolokia operations which allowed executing broker     management operations meant for admins such as addQueue and removeQueue. (CVE-2026-49157)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
318213	Linux Distros 未修補弱點：CVE-2026-45505	Nessus	Misc.	2026/6/2	2026/7/6	high
318667	Apache ActiveMQ < 5.19.7 / 6.x < 6.2.6 多個漏洞	Nessus	CGI abuses	2026/6/4	2026/6/9	high
318213	Linux Distros 未修补的漏洞：CVE-2026-45505	Nessus	Misc.	2026/6/2	2026/7/6	high
318667	Apache ActiveMQ < 5.19.7 / 6.x < 6.2.6 多种漏洞	Nessus	CGI abuses	2026/6/4	2026/6/9	high
318213	Linux Distros のパッチ未適用の脆弱性: CVE-2026-45505	Nessus	Misc.	2026/6/2	2026/7/6	high
318667	Apache ActiveMQ < 5.19.7 / 6.x < 6.2.6 の複数の脆弱性	Nessus	CGI abuses	2026/6/4	2026/6/9	high
318213	Linux Distros Unpatched Vulnerability : CVE-2026-45505	Nessus	Misc.	2026/6/2	2026/7/6	high
318667	Apache ActiveMQ < 5.19.7 / 6.x < 6.2.6 Multiple Vulnerabilities	Nessus	CGI abuses	2026/6/4	2026/6/9	high

检测

插件搜索

high

high

high

high

high

high

high

high