Apache ActiveMQ Artemis CVE-2026-57967: unauthentifizierter Session-Hijack, CVSS 9.8

Marcus Chen Staff Engineer (Backend & Cloud), YuSMP Group · Infrastruktursicherheit für Enterprise-Teams in den USA und der EU

Die kurze Antwort

Was ist CVE-2026-57967?

Apache ActiveMQ Artemis ist der leistungsfähige Message Broker im Herzen vieler ereignisgesteuerter und Microservice-Systeme — das JMS- und Multiprotokoll-Rückgrat, das Bestellungen, Zahlungen, Bestandsänderungen und Audit-Events zwischen Diensten bewegt. Am 10. September 2026 veröffentlichte die Apache Software Foundation eine Reihe von Artemis-Advisories, und CVE-2026-57967 ist die schwerwiegendste: eine kritische Missing-Authentication-Schwachstelle (CWE-306) mit CVSS 9.8.

Die Lücke steckt im CORE-Protokoll des Brokers, dem nativen Wire-Protokoll, mit dem Artemis-Clients mit dem Server sprechen. CORE unterstützt Session-Reattachment — eine Resilienzfunktion, die einem Client erlaubt, nach einem kurzen Verbindungsabbruch eine bestehende Session transparent fortzusetzen, statt sich von Grund auf neu zu authentifizieren. Der Fehler: Der Broker akzeptiert eine SESSION_REATTACH-Anfrage, ohne ausreichend zu prüfen, ob der Anfragende der legitime Besitzer der wieder aufzunehmenden Session ist. Ein Angreifer, der den Broker erreicht und eine gültige Session-Kennung referenzieren kann, kann daher den Besitz einer fremden authentifizierten Session beanspruchen. Weil es sich um brokerseitige Infrastruktur handelt, ist ihre Härtung ebenso eine DevOps- und Plattform-Aufgabe wie eine der Anwendung.

Die Schweregrad-Metriken sprechen für sich: über das Netzwerk erreichbar, geringe Angriffskomplexität, keine Rechte und keine Benutzerinteraktion erforderlich, bei hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Anders gesagt: Ein unauthentifizierter Angreifer auf einem erreichbaren Netzwerkpfad kann eine privilegierte, bereits authentifizierte Session übernehmen und mit deren Rechten handeln. Das Apache-Projekt korrigierte die Reattach-Logik in Artemis 2.57.0, das eine Reattach-Anfrage nun gegen den aktuellen Authentifizierungsstatus prüft, bevor sie honoriert wird.

So funktioniert der Session-Hijack

Session-Reattachment existiert aus gutem Grund. In einem stark ausgelasteten Artemis-Deployment brechen TCP-Verbindungen ständig ab und werden neu aufgebaut; eine vollständige Neu-Authentifizierung und State-Rekonstruktion bei jedem Aussetzer wäre langsam und fragil. Also erlaubt das CORE-Protokoll einem sich neu verbindenden Client, ein SESSION_REATTACH-Paket vorzulegen, das eine bestehende serverseitige Session referenziert und dort weitermacht, wo sie aufgehört hat — gleiche authentifizierte Identität, gleiche offene Producer und Consumer, gleicher In-Flight-State.

CVE-2026-57967 bricht die Vertrauensannahme unter dieser Bequemlichkeit. Der Broker bestätigt nicht ausreichend, dass derjenige, der die Reattach-Anfrage sendet, der ursprüngliche, authentifizierte Besitzer der referenzierten Session ist. Ein Angreifer, der eine gültige Session-Kennung aus einer früheren authentifizierten Verbindung erraten oder beobachten kann, kann sein eigenes SESSION_REATTACH-Paket senden und diese Session beanspruchen — und der Broker gewährt Zugriff auf alles, was damit verbunden ist. Kein Passwort, kein Token, keine Benutzerabfrage: Netzwerkreichweite plus eine gültige Session-Referenz wird zur Session-Übernahme.

Von dort erbt der Angreifer die Rechte der gekaperten Session auf dem Broker. Je nachdem, wozu diese Session berechtigt war, bedeutet das: Nachrichten im Transit mitlesen, Nachrichten an nachgelagerte Consumer einschleusen oder erneut abspielen, Queues manipulieren oder leerräumen oder den Nachrichtenfluss komplett stören. Zum Zeitpunkt der Veröffentlichung gibt es keine Bestätigung breiter Ausnutzung in freier Wildbahn, und Apache beschreibt dies als offengelegte, nicht als bekannt-ausgenutzte Lücke. Das ist ein schwacher Trost: Der Angriffspfad ist unauthentifiziert und von geringer Komplexität, und sobald technische Details zu einer CVSS-9.8-Lücke öffentlich sind, ist opportunistisches Scannen exponierter Broker die realistische Erwartung, nicht die entfernte.

Was das für DACH-Softwareteams bedeutet

Streicht man die Protokoll-Spezifika, bleiben drei dauerhafte Lehren. Erstens: Ihr Message Broker ist Produktionsinfrastruktur, keine vergessbare Verrohrung. Teams überhäufen ihre öffentlichen HTTP-APIs mit Authentifizierung und Rate-Limiting und betreiben Artemis dann mit einem permissiven Acceptor, weil es „intern“ sei. Ein Broker, der Zahlungen und Audit-Events routet, verdient dasselbe Bedrohungsmodell wie Ihr Edge. CVE-2026-57967 erinnert daran, dass die Messaging-Ebene ein erstklassiger Teil Ihrer Angriffsfläche ist.

Zweitens: Resilienzfunktionen sind Sicherheitsfläche. Session-Reattachment, Auto-Reconnect, Failover und Replay-Mechanismen existieren, um Systeme robuster zu machen — und jeder davon ist eine Stelle, an der Identität angenommen statt bewiesen werden kann. Wenn Sie ereignisgesteuerte Systeme bauen oder beauftragen, muss jeder „dort weitermachen, wo du aufgehört hast“-Pfad eine Frage explizit beantworten: Wie verifizieren wir, dass dies derselbe Principal ist? Diese Prüfung ins Design einzubauen ist weit günstiger, als sie nach einem CVE nachzurüsten.

Drittens: Netzwerkexposition ist der Multiplikator. Der Unterschied zwischen „kritisches CVE, ruhig gepatcht“ und „Vorfall“ hängt fast immer davon ab, ob der verwundbare Port von dort erreichbar war, wo der Angreifer sitzt. Für DACH-Teams ist eine unauthentifizierte Übernahme eines Brokers, der personenbezogene oder Finanzdaten trägt, klar ein Thema für DSGVO, NIS2 (in Deutschland über das NIS2-Umsetzungsgesetz) und — im Finanzsektor — DORA. Genau die Art Exposition, die Aufsichten wie das BSI und die BaFin per Design abgeschottet erwarten. Genau zu wissen, welche Broker, Admin-Panels und internen Dienste von wo erreichbar sind, ist hier die Kontrolle mit dem höchsten Hebel.

Was jetzt zu tun ist

1. Auf Artemis 2.57.0 aktualisieren. Bringen Sie jeden Broker auf einer betroffenen Version — Apache Artemis 2.50.0–2.56.0 oder altes ActiveMQ Artemis 1.0.0–2.44.0 — auf 2.57.0. Behandeln Sie es als prioritäre Änderung, nicht als Routine-Wartung.
2. Broker-Ports aus nicht vertrauenswürdigen Netzen nehmen. Der CORE-Acceptor (üblicherweise TCP 61616) und die Management-Schnittstelle sollten nur aus vertrauenswürdigen Anwendungs-Subnetzen erreichbar sein. Nichts an einem Message Broker gehört ins öffentliche Internet.
3. TLS und Authentifizierung auf jedem Acceptor erzwingen. Verlangen Sie verschlüsselte, authentifizierte Verbindungen für allen Client- und Inter-Broker-Verkehr und wenden Sie Least-Privilege-Rollen auf Adressen und Queues an, damit eine einzelne kompromittierte Session nicht alles berühren kann.
4. Nach Anomalien jagen. Prüfen Sie Broker-Logs auf ungewöhnliches Verbindungs-Churn und Reattach-Aktivität, unerwartete Quelladressen am CORE-Acceptor und Consumer, die Sie nicht zuordnen können. Alarmieren Sie bei Reattach-Mustern, die nicht zu Ihrer Client-Flotte passen.
5. Messaging in den Pentest-Umfang aufnehmen. Broker werden regelmäßig aus Sicherheitstests ausgelassen, obwohl sie den sensibelsten Verkehr tragen. Nehmen Sie die Messaging-Ebene in Ihren nächsten Penetrationstest auf und prüfen Sie benachbarte interne Dienste auf ähnliche „angenommene Identität“-Pfade.

Häufig gestellte Fragen

Quellen

SecurityOnline — Apache Artemis Vulnerabilities Expose ActiveMQ Artemis Flaws
VulDB — CVE-2026-57967 in ActiveMQ Artemis (CVSS, betroffene Versionen, Fix)
Apache Software Foundation — ActiveMQ Security Advisories