JVN#20669184    
Apache ActiveMQシリーズにおけるMQTTパケット検証不備の脆弱性［AMQ-9810］

The Apache Software Foundationが提供するApache ActiveMQシリーズでは、MQTTパケットの検証が適切に行われていません。

• Apache ActiveMQ 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン
• Apache ActiveMQ All モジュール 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン
• Apache ActiveMQ MQTT モジュール 5.19.2より前の5.xバージョン、6.2.4より前の6.xバージョン

The Apache Software Foundationが提供するApache ActiveMQシリーズではMQTTパケットの検証が適切に行われておらず、整数オーバーフローが発生して想定外の動作につながる可能性があります。
Apache ActiveMQシリーズには、次の脆弱性が存在します。

• 整数オーバーフローまたはラップアラウンド（CWE-190）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 5.3
  • CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N 基本値 5.4
  • CVE-2025-66168、CVE-2026-40046

細工されたMQTTパケットを適切に処理できず、想定外の動作が発生する可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ	リンク
The Apache Software Foundation	CVE-2025-66168 - MQTT control packet remaining length field is not properly validated
	CVE-2026-40046 - Missing fix for CVE-2025-66168: MQTT control packet remaining length field is not properly validated
	[AMQ-9810] Add additional validation for MQTT control packets

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がバージョン6.2.0に対する指摘として開発者とIPAに報告し、JPCERT/CCが開発者と公表の調整を行いました。
報告者：三井物産セキュアディレクション株式会社 田中 凱 氏