文章总结： ApacheActiveMQ被披露存在两个关键漏洞CVE-2026-42253与CVE-2026-49157。前者因MessageServlet未经验证直接将JMS消息属性复制到HTTP响应头中，导致攻击者可注入恶意头引发跨站脚本、会话劫持和缓存投毒；后者源于Jolokia接口授权不当，允许低权限用户越权执行队列管理等高敏感操作。两个漏洞影响5.19.7及6.2.6之前的版本。建议相关组织立即升级至安全版本，严格限制管理接口访问并实施基于角色的访问控制，同时持续审计JMS消息流以防范利用风险。 综合评分： 77 文章分类： 漏洞预警,漏洞分析,WEB安全,应用安全

关键Apache ActiveMQ漏洞使系统面临安全头注入攻击风险

网安百色

2026年6月6日 18:50 广西

在小说阅读器读本章

去阅读

Apache ActiveMQ 用户在披露一个关键漏洞 CVE-2026-42253 后被敦促立即应用补丁，该漏洞因 JMS 消息属性处理不当，可导致 HTTP 响应头注入。

该漏洞同时影响 Apache ActiveMQ 和 ActiveMQ Web 组件。Apache 软件基金会将其严重程度评级为“重要”。

CVE-2026-42253：通过 JMS 属性的 HTTP 响应头注入 漏洞源于 ActiveMQ Web 控制台 API 中的 MessageServlet 组件，JMS 消息属性未经任何验证或清理即被直接复制到 HTTP 响应头中。

此不安全行为使攻击者能够注入任意头字段或覆盖现有安全控制措施，在 Web 控制台暴露或可访问的环境中形成重大攻击向量。

成功利用 CVE-2026-42253 可能使威胁行为者操控 Content-Security-Policy、Set-Cookie 或 Access-Control-Allow-Origin 等关键头字段。

这可能导致跨站脚本（XSS）、会话劫持、缓存投毒或绕过浏览器强制执行的安全机制。由于 JMS 消息在特定配置下（尤其是在安全性较弱的消息环境中）可能被操控，该漏洞具备实际利用条件。

受影响版本如下：

Apache ActiveMQ 5.19.7 之前版本 Apache ActiveMQ 6.x 6.2.6 之前版本 Apache ActiveMQ Web 5.19.7 之前版本 Apache ActiveMQ Web 6.x 6.2.6 之前版本

Apache 已在修复版本中默认弃用并禁用存在漏洞的 MessageServlet。强烈建议用户升级至 5.19.7 或 6.2.6 版本以消除风险。

CVE-2026-49157：Jolokia 授权不当导致权限滥用 除头字段注入漏洞外，另一重要漏洞 CVE-2026-49157 同时被披露，影响 Jolokia 管理接口的默认授权控制。

该问题允许经过身份验证的低权限用户访问本应仅限管理员使用的代理管理操作。

根本原因在于 Jolokia 默认授权设置过于宽松，导致对添加或删除队列等敏感操作产生非预期访问权限。利用此漏洞可能导致未经授权的配置更改、消息工作流中断或企业消息基础设施滥用。

两个漏洞均影响 Apache ActiveMQ 5.19.7 之前版本及 6.x 分支 6.2.6 之前版本。鉴于存在权限提升和安全控制绕过风险，使用受影响部署的组织应将此问题列为高优先级。

安全研究人员 Vishal Shukla、pyn3rd、uname 和 4ra1n 因发现 CVE-2026-42253 获致谢，Leon Johnson 报告了 CVE-2026-49157。他们的研究揭示了广泛部署的消息平台中，因默认配置和输入验证不足可能引入可利用漏洞的持续风险。

建议组织立即升级，限制对管理接口的访问，审计 JMS 消息流，并对 Jolokia 端点实施严格的基于角色的访问控制。同时建议监控异常 HTTP 头行为和未授权代理操作，以检测潜在的漏洞利用尝试。

本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网安百色 《关键Apache ActiveMQ漏洞使系统面临安全头注入攻击风险》