原文

Apache Artemisには、STOMPプロトコルを使用し、アドレスに対してconsumeまたはsendの権限を持つセキュリティ資格情報を用いるアプリケーションにおいて、該当ユーザーが特定のアドレスに対するcreateAddress権限を持っていなくても、そのアドレスがサポートするルーティングタイプを拡張できてしまうという脆弱性があります。ユーザーは、本来拒否されるべきルーティングタイプの変更権限を持たないにもかかわらず、対応するアドレスがサポートしないルーティングタイプでメッセージを送信したり、キューからメッセージを消費したりすることが可能です。送信および／または消費の権限が付与されている場合でも、createAddress権限なしにアドレスのルーティングタイプを拡張してはなりません。この問題は、Apache Artemisバージョン2.50.0から2.53.0まで、およびApache ActiveMQ Artemisバージョン2.0.0から2.44.0までに影響を及ぼします。ユーザーはこの問題を修正したバージョン2.54.0へアップグレードすることを推奨します。