Apache ActiveMQ NMS AMQP Clientで新たに公表された脆弱性により、攻撃者が脆弱なシステム上で任意のコードを実行できる可能性がある。
影響を受けるのは2.3.0以前（2.3.0を含む）のすべてのバージョンで、クライアントの.NET実装における安全でないデシリアライゼーション処理に起因する。
「悪意あるサーバーは、クライアントに存在する制限のないデシリアライゼーション処理を悪用し、クライアント側で任意のコード実行につながる可能性のあるレスポンスを細工できる」とKrzysztof PorębskiはApacheで述べた。
影響の可能性
この欠陥は、Apache ActiveMQの.NETクライアントライブラリを利用する組織に影響を及ぼす。
NMS AMQPクライアントは.NETアプリケーションとAMQPブローカー間の通信を担うため、侵害された、または悪意あるブローカーに接続するシステムは、いずれも悪用される可能性がある。
攻撃者はこの脆弱性を利用して任意のコードを実行し、システム全体へのアクセスを取得できるほか、マルウェアを展開したり機密データを窃取したりする可能性がある。Apacheはこの問題の深刻度を「重要」と評価した。
安全でないデシリアライゼーションからリモートコード実行へ
その核心にあるのは、CVE-2025-54539であり、NMS AMQPクライアントライブラリに存在する安全でないデシリアライゼーションの欠陥に起因する。
クライアントがAMQPサーバーに接続すると、サーバーから送信されたシリアライズ済みのデータオブジェクトを処理する。しかし、2.3.0以前のバージョンでは、受信したオブジェクトの検証が適切に行われず、悪意あるサーバーが有害なデータを注入できる。
この過程を通じて、攻撃者は制限のないデシリアライゼーションを悪用するレスポンスを細工し、クライアントに安全でないオブジェクトをインスタンス化させたり、ホストマシン上で悪意あるコードを直接実行させたりできる。
その結果、リモートコード実行（RCE）が可能となり、システム全体の侵害につながる恐れがある。
Apacheは、デシリアライズ可能なオブジェクトの種類を制限する許可リストと拒否リストを導入し、2.1.0でこのリスクの軽減を試みた。しかし、Endor Labsの研究者は、これらの制限を回避する手法を発見したと報告している。
分析の結果、特定の条件下では一部のシリアライゼーション経路で安全でないオブジェクトの作成が依然として可能であり、従来の防御策は実効性を失っていることが明らかになった。
この欠陥は、長年にわたりエンタープライズアプリケーションを悩ませてきた、より広範なシリアライゼーション脆弱性の一種である。
この種の欠陥は、標準的なセキュリティチェックを回避し、プログラムのメモリやロジックを直接操作することが多い。
実行可能なセキュリティ対策
組織は、直ちに対処するとともに長期的なセキュリティ改善に取り組むことで、デシリアライゼーションやリモートコード実行の脅威にさらされるリスクを低減できる。以下のベストプラクティスは、全体的なレジリエンスを強化するための枠組みとなる。
- パッチを適用する：デシリアライゼーションの欠陥を修正し、入力検証を強化したApache ActiveMQ NMS AMQP Client 2.4.0以降にアップグレードする。
- 接続を保護する：ファイアウォール、VPN、ネットワークセグメンテーションを使用し、AMQPトラフィックを信頼できるサーバーとネットワークに限定して、不正アクセスを防止する。
- 入力検証とログ記録を有効にする：受信するAMQPデータを厳格に検証し、不審なトラフィックを検出できるよう詳細なログを維持する。
- 脅威の検出と対応を強化する：予期しない外向き接続や通常とは異なるプロセスの起動など、異常な挙動を継続的に監視し、SIEMやXDRツールを活用する。
- アプリケーションとランタイム環境を強化する：最小権限でサービスを実行し、安全でないシリアライゼーション機能を無効にするとともに、コンテナやサンドボックスによってアプリケーションを隔離する。
- ソフトウェアサプライチェーンのセキュリティを強化する：依存関係を定期的に監査し、安全なコーディング手法を適用するとともに、自動化された脆弱性スキャンとコード署名を利用して改ざんを防止する。
これらの対策を組み合わせることで、多層防御が構築され、組織のサイバーレジリエンスが強化される。
Apache ActiveMQのインシデントは、現代のソフトウェアエコシステムが抱える根強い課題を浮き彫りにしている。開発者が後方互換性と進化するセキュリティ標準の両立を図る中で、レガシーなシリアライゼーションの仕組みが重大な脆弱性を生み続けている。
また、堅牢なサードパーティー依存関係管理の重要性も示している。パッチが適用されていないライブラリ1つによって、インフラ全体が悪用にさらされる可能性があるためだ。
DevSecOpsに沿った原則を示すものであり、ソフトウェア提供のあらゆる段階にセキュリティを組み込む。