CVE-2025-66168

Nome do Software Vulnerável e Versões Afetadas Apache ActiveMQ versões anteriores a 5.19.2 Apache ActiveMQ versões 6.0.0 a 6.1.8 Apache ActiveMQ versão 6.2.0

Description O Apache ActiveMQ não valida adequadamente o campo de comprimento restante, o que pode levar a um estouro de inteiro durante a decodificação de pacotes malformados. Esse estouro pode fazer com que o broker calcule incorretamente o comprimento restante total e interprete a carga útil como múltiplos pacotes de controle MQTT, resultando em comportamento inesperado ou falha do sistema ao interagir com clientes não conformes. Esse comportamento viola a especificação MQTT v3.1.1, que restringe o comprimento restante a no máximo 4 bytes. O problema ocorre em conexões estabelecidas após o processo de autenticação. Brokers que não possuem conectores de transporte MQTT habilitados não são afetados.

Recommendations Atualizar versões anteriores a 5.19.2 para a versão 5.19.2. Atualizar versões 6.0.0 a 6.1.8 para a versão 6.1.9. Atualizar a versão 6.2.0 para a versão 6.2.1. Como medida de mitigação temporária, desabilite o conector de transporte MQTT.