Cyber ·
CVE-2026-103582: DoS por campos de comprimento sem limite no cliente Apache NMS ActiveMQ
Aviso de baixa gravidade sobre alocação excessiva de memória no cliente .NET OpenWire do Apache NMS ActiveMQ, corrigido na versão 2.3.0.
Segundo o texto recebido, o aviso CVE-2026-103582 foi publicado em 3 de novembro de 2026 por Christopher L. Shannon na lista oss-sec, com gravidade classificada como baixa. O problema está no cliente .NET OpenWire da biblioteca Apache NMS ActiveMQ (pacote Apache.NMS.ActiveMQ). O código de unmarshalling confiava no tamanho do quadro e nos campos de comprimento e contagem lidos da rede, sem impor tamanho máximo, o que permite alocação excessiva de memória e negação de serviço.
As versões afetadas são a biblioteca cliente até a 2.2.0, e a correção está na 2.3.0. O texto recebido está truncado, então condições de exploração e outros detalhes não constam aqui. Para verificar, consulte o aviso original no arquivo da lista oss-sec pelo identificador do CVE e confira a versão do pacote nos seus projetos. Este é um problema de engenharia em uma biblioteca de terceiros; a Rota Nacional não o resolve nem oferece correção para ele.