Cyber ·
CVE-2026-108500: injeção de DN contorna autorização LDAP no Apache ActiveMQ
Aviso de gravidade moderada sobre o LDAPAuthorizationMapPlugin do Apache ActiveMQ: um usuário autenticado pode usar caracteres especiais de DN em nomes de destinos para contornar a autorização LDAP. Versões 6.3.x e 5.19.x afetadas até as correções indicadas.
Aviso publicado em 3 de novembro de 2026 e identificado como CVE-2026-108500, com gravidade moderada, segundo material traduzido do feed oss-sec e publicado por Matt Pavlovich. O problema está no LDAPAuthorizationMapPlugin do Apache ActiveMQ, usado para mapear autorizações via LDAP. Um invasor já autenticado pode criar ou acessar um destino com nome manipulado, contendo caracteres especiais de DN LDAP como vírgula, sinal de mais, sinal de igual e barra invertida, e assim contornar a autorização. As versões afetadas são a 6.3.0 até antes da 6.3.3 e a 5.19.0 até antes da 5.19.12; a 6.4.0 é informada como não afetada. O texto recebido está truncado antes da descrição completa das consequências, por isso não é possível afirmar mais do que foi declarado. Relevância: se a sua organização opera ActiveMQ com esse plugin, a ação principal é verificar a versão instalada e aplicar a correção indicada pelo projeto. A Rota Nacional não corrige este produto. Para consultar o original, use a referência indicada no arquivo oss-sec de novembro de 2026 e confirme versões e mitigações nos avisos oficiais do Apache. Se você usar IA para estudar este aviso, não cole nomes reais de destinos, configurações LDAP, hosts internos ou credenciais. A detecção de dados pessoais da Rota cobre tipos como CPF, CNPJ, e-mail, telefone e nomes de pessoas, mas identificadores técnicos internos devem ser removidos manualmente antes do envio.