JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-006897 Apache ArtemisおよびApache ActiveMQ Artemisにおける重要な機能の認証欠如（CWE-306）脆弱性です。認証されていないリモート攻撃者はCoreプロトコルを利用して対象のブローカーに対し、攻撃者が管理する悪意のあるブローカーとのアウトバウンドCoreフェデレーション接続を強制的に確立させることができます。これにより、悪意のあるブローカーを通じて任意のキューへのメッセージ注入および／または任意のキューからのメッセージ流出が発生する可能性があります。本脆弱性は以下の環境に影響します。信頼されていないソースからのブローカーへのCoreプロトコル接続の受け入れ、およびブローカーから信頼されていないターゲットへのCoreプロトコルのアウトゴーイング接続です。本問題は以下のバージョンに影響します。Apache Artemis 2.50.0から2.51.0まで、およびApache ActiveMQ Artemis 2.11.0から2.44.0までです。ユーザーは、この問題を修正したApache Artemisバージョン2.52.0へのアップグレードを推奨します。問題の緩和策として以下のいずれかが有効です。信頼されていないソースからの接続を受け付けるアクセプタからCoreプロトコルのサポートを削除してください。デフォルトでは、61616ポートで待機する"artemis"アクセプタからCoreプロトコルの受け入れがサポートされています。アクセプタに構成されている"protocols" URLパラメータを確認してください。このパラメータが無いアクセプタURLはCoreを含むすべてのプロトコルをデフォルトでサポートします。双方向SSL（すなわち証明書ベースの認証）を使用し、接続確立時にすべてのクライアントが適切なSSL証明書を提示することを強制してください。これにより、メッセージプロトコルのハンドシェイクの前に認証されていない悪用を防止できます。 cpe:/a:apache:activemq_artemis cpe:/a:apache:artemis https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-006897.html Common Vulnerabilities and Exposures (CVE) CVE-2026-27446 https://www.cve.org/CVERecord?id=CVE-2026-27446 National Vulnerability Database (NVD) CVE-2026-27446 https://nvd.nist.gov/vuln/detail/CVE-2026-27446 Pony Mail CVE-2026-27446: Apache Artemis, Apache ActiveMQ Artemis: Auth bypass for Core downstream federation-Apache Mail Archives https://lists.apache.org/thread/jwpsdc8tdxotm98od8n8n30fqlzoc8gg JVNDB CWE-306 https://cwe.mitre.org/data/definitions/306.html Openwall mailing list archives oss-security - CVE-2026-27446: Apache Artemis, Apache ActiveMQ Artemis: Auth bypass for Core downstream federation http://www.openwall.com/lists/oss-security/2026/03/03/4 Openwall mailing list archives oss-security - Re: CVE-2026-27446: Apache Artemis, Apache ActiveMQ Artemis: Auth bypass for Core downstream federation http://www.openwall.com/lists/oss-security/2026/03/04/1 2026-03-16T11:50:51+09:00 2026-03-16T11:50:51+09:00