Intel

CVE-2026-53916

Red Hat Security Advisory: Red Hat AMQ Broker 7.13.6 release and security update

highEPSS 0.7 %

Beschreibung

Die Schwachstelle "Speicherzuweisung mit übermäßigem Größenwert" in Apache ActiveMQ, Apache ActiveMQ All und Apache ActiveMQ Stomp. Ein nicht authentifizierter Client kann eine STOMP NIO-Verbindung öffnen und Headerbytes senden, die nie enden. Dadurch puffert der Broker diese Bytes ohne Grenzen, was den JVM Heap erschöpft. Diese Schwachstelle betrifft Apache ActiveMQ: vor Version 5.19.8 und von Version 6.0.0 bis einschließlich 6.2.7; Apache ActiveMQ All: vor Version 5.19.8 und von Version 6.0.0 bis einschließlich 6.2.7; Apache ActiveMQ Stomp: vor Version 5.19.8 und von Version 6.0.0 bis einschließlich 6.2.7. Es wird empfohlen, auf Version 6.2.7 oder 5.19.8 zu aktualisieren, um das Problem zu beheben.

Quelle: BSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFOSVBSIBSI_CSAFCVELISTV5NVDCVEORG

Metriken

Severity
high
Priority-Score
131.58
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
—
EPSS-Perzentil
52.5 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.7 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-10 23:22 UTC
CWE
CWE-789

Weakness-Klassen (CWE)

  • CWE-789Variant

    Memory Allocation with Excessive Size Value

    The product allocates memory based on an untrusted, large size value, but it does not ensure that the size is within expected limits, allowing arbitrary amounts of memory to be allocated.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Initial Analysis2026-07-02 18:42 UTC· nvd@nist.gov
    • CPE Configuration: OR *cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* versions up to (excluding) 5.19.8 *cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* versions from (including) 6.0.0 up to (excluding) 6.2.7
    • Reference Type: Apache Software Foundation: https://lists.apache.org/thread/07hjsj88hqgsb7vvg6ttsj56ts9vjs5n Types: Vendor Advisory
    • Reference Type: CVE: http://www.openwall.com/lists/oss-security/2026/06/29/13 Types: Third Party Advisory
  2. CVE Modified2026-06-30 12:16 UTC· af854a3a-2127-422b-91ae-364da2661108
    • Reference: http://www.openwall.com/lists/oss-security/2026/06/29/13
  3. New CVE Received2026-06-30 11:16 UTC· security@apache.org
    • Affected: Apache ActiveMQ, Apache ActiveMQ All, Apache ActiveMQ Stomp
    • Description: Memory Allocation with Excessive Size Value vulnerability in Apache ActiveMQ, Apache ActiveMQ All, Apache ActiveMQ Stomp. An unauthenticated client that opens a STOMP NIO connection can send header bytes that never terminate which makes the broker buffer them without limit, exhausting the JVM heap. This issue affects Apache ActiveMQ: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ All: before 5.19.8, from 6.0.0 before 6.2.7; Apache ActiveMQ Stomp: before 5.19.8, from 6.0.0 before 6.2.7. Users are recommended to upgrade to version 6.2.7 or 5.19.8, which fixes the issue.
    • CWE: CWE-789
    • Reference: https://lists.apache.org/thread/07hjsj88hqgsb7vvg6ttsj56ts9vjs5n

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Apache

    ActiveMQArtemis <2.57.0

  • apache

    qpid_proton-j0.35.0

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • axios

    axios0.19.0 – 0.31.1

  • axios

    axios1.0.0 – 1.15.2

  • axios

    axios1.0.0 – 1.16.0

  • axios

    axios1.7.0 – 1.16.0

  • axios

    axios0.32.0

  • beaugunderson

    ip-address10.1.1

  • bitnami

    activemq6.0.0

  • bitnami

    postgresql-jdbc-driver42.2.0

  • FasterXML

    Jackson2.18.6

  • FasterXML

    Jackson2.21.1

  • FasterXML

    Jackson3.1.0

Quellen & Referenzen

Verknüpfte CVEs

34 weitere CVEs anzeigen
IDCVE-2026-53916