概要
Apache ActiveMQの.NETクライアントライブラリに、リモートコード実行（RCE）を可能にする重大なセキュリティ脆弱性（CVE-2025-54539）が発見されました。この脆弱性は、クライアントが悪意のあるAMQPサーバーに接続した際にトリガーされ、攻撃者がクライアントマシン上で任意のコードを実行する可能性があります。
脆弱性の詳細
この問題は、Apache ActiveMQ NMS AMQPクライアントにおける非安全なデシリアライゼーションロジックに起因します。クライアントがサーバーに接続する際、十分な検証なしに受信したシリアライズされたオブジェクトを処理します。これにより、悪意のあるサーバーが危険なオブジェクトをインスタンス化したり、有害なコードを実行したりするレスポンスを作成することが可能になります。
影響を受ける製品とバージョンは以下の通りです。
- CVE ID: CVE-2025-54539
- 影響を受ける製品: Apache ActiveMQ NMS AMQP Client
- 影響を受けるバージョン: 2.3.0以前のすべてのバージョン
バージョン2.1.0では、デシリアライズ可能な型を制限するための許可/拒否リストが導入されましたが、研究者たちは特定の条件下でこれらの制限を回避する方法を発見しました。このため、バージョン2.3.0を含むそれ以前のNMS AMQPクライアントを使用しているアプリケーションは、依然として脆弱な状態にあります。
影響と深刻度
CVE-2025-54539の悪用が成功すると、リモートの攻撃者はクライアント側で任意のコードを実行できるようになります。これにより、データ窃盗、システム乗っ取り、追加のマルウェア展開など、深刻な被害につながる可能性があります。Apacheプロジェクトは、この脆弱性の深刻度を「重要（Important）」と評価しており、機密性、完全性、可用性への高い潜在的影響を反映しています。
対策と推奨事項
開発者および管理者は、この脆弱性から保護するために以下の対策を直ちに講じる必要があります。
- 即時アップグレード: Apache ActiveMQ NMS AMQP Clientをバージョン2.4.0以降に直ちにアップグレードしてください。このバージョンで脆弱性は修正されています。
- 長期的な対策: Microsoftが.NET 9で.NETバイナリシリアライゼーションの非推奨を計画しているため、将来的にはJSONやProtocol Buffersのようなより安全なシリアライゼーションフレームワークへの移行を検討し、厳格な型チェックを適用してください。
- 信頼できるサーバーへの接続: クライアントが信頼できるAMQPサーバーにのみ接続するように、メッセージブローカーの設定を確認してください。
- ネットワークレベルの制御: ファイアウォールルールやVPNトンネルなどのネットワークレベルの制御を導入し、正当なブローカーエンドポイントへのアクセスを制限することで、露出をさらに減らすことができます。
謝辞
この問題の発見は、Endor Labsのセキュリティ研究チームによるものです。詳細については、Apache ActiveMQのウェブサイトまたはCVE-2025-54539の公式CVEエントリを参照してください。
元記事: https://gbhackers.com/critical-apache-activemq-let-attackers-execute-arbitrary-code/