Български

← Обратно към списъка

Apache ActiveMQ Висок риск RCE Gap: 5-степенно завършване на атакуващата верига

itadol5j

CVE-2026-34197 анализ на празнината

Apache ActiveMQ взривове високо-рискова RCE вратичка

Apache ActiveMQ наскоро разкри един.Гап за прилагане на висок риск от отдалечен код(CVE - 2026 - 34197) Нападателят може да наложи всеки код чрез моста JMX-HTTP на JVM на Брокер.

Въздействието на тази вратичка е широко и всички потребители, използващи ActiveMQ 5.x и 6.x версии изискват незабавно внимание.

Основна информация за вратичките

Настройки Подробности
CVE ID CVE-2026-34197
Сериозно ниво Висок риск (изпълнение на отдалечен код по RCE)
CWE CWE-20 (неподходящо валидиране на вход), CWE-94 (инжекция на код)
Компонент на удара Apache ActiveMQ Брокер
Предпоставка за атака Изискване на сертифицирани потребители

• Засегната версия

  • Apache ActiveMQ 5.x: Всички версии < 5.19.4
  • Apache ActiveMQ 6.x:6. 0, 0 год. 6.2.3(без 6.2.3)

Версия за рехабилитация

  • Ъпгрейд на 5.19.4(5.x версия серия възстановяване)
  • Ъпгрейд до 6.2.3(6.x серия рехабилитация версия)

Пет стъпки за атака.

Стъпка 1: Посетете моста Джолкия

Apache ActiveMQ Classic е бил изложен на уеб конзолата. Jologia JMX-HTTP мост, пътят е /api/jolokia/Не знам. Този мост позволява достъп до JMX интерфейса чрез HTTP.

Стъпка 2: Обадете се на Mbean Exec операция

Политика за достъп по подразбиранеРазрешаване на всички активни MQ Mbeans(org.apache.activemq:*) извършва exec операции. Това означава, че нападателите могат да призоват различни методи за управление на ActiveMQ.

Стъпка 3: Изграждане на злоба

Нападателите могат да се обадят. BrokerService.addNetworkConnector(String) или BrokerService.addConnector(String) Методът, в внимателно изградения.Точно така.VM трансферен спусък BrokerConfig параметър.

Стъпка 4: Зареждане на отдалечена пружина XML

Параметрите на BrokerConfig определят дистанционното на товара Пролетен XML контекст, употреба ResourceXmlApplicationContextНе знам.

Стъпка 5: Всяко изпълнение на код

Ключовите точки са:ResourceXmlПриложениеКонтекстът е илюстриран преди конфигурацията BrokerServiceНе знам. Нападателят може да използва метод като: Runtime.exec() На JVM на брокерИзпълнение на всеки кодНе знам.

Защо тази вратичка е опасна?

  1. Можете да го използвате след удостоверяване.: С номер за влизане на ActiveMQ, можете да започнете атака.
  2. Пълен контрол, брокер.:RCE вратичка означава, че нападателят има пълен контрол върху JVM на ActiveMQ брокер
  3. Усложнения: ActiveMQ е среда за бизнес новини, и много компании го използват.
  4. Веригата е непокътната.: Обадете се на отдалечена пролет XML → RCE от → Mbean, стачка пътека чист

Как?

Обновяване сега

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Временни мерки за смекчаване на последиците

Ако това не може да се направи за момента, може да се обмисли следното:

  • Изключване на Джолкия: Изключване на Jolokia JMX-HTTP мост в активна MQ конфигурация
  • Ограничи политиката за достъп до Йология: Промяна на политиката по подразбиране, деактивиране на операциите на Exec
  • Подобряване на сигурността на сертифицирането: Уверете се, че сертификатът за удостоверяване на автентичността за ActiveMQ не се разкрива
  • Изолиране на мрежата: Лимит на достъп до уеб конзолата ActiveMQ

Проверете за атака.

  • Проверете дневника на ActiveMQ брокера с анормален addConnector / addNetworkConect
  • Проверка за заявки за изтегляне на XML от външни мрежи
  • Мониторинг на създаването на аномалия процес за брокер JVM (Runtime.exec)

Резюме

CVE-2026-34197 е единСлучай на типична опасна конфигурация, водеща до RCE:

  • InactiveMQ по подразбиране изложени Jologia JMX-HTTP мост
  • Политиката по подразбиране позволява exec операции за всички зърна
  • Нападателят може да зареди дистанционно Spring XML чрез параметъра brookerConfig
  • Пролетта илюстрира боб преди конфигурацията на автентичността, което води до RCE

Ако използвате Apache ActiveMQ, проверете веднага версията и я надграждане до 5.19.4 или 6.2.3!

Високорисковите вратички се поправят незабавно.

Официален бюлетин за сигурност:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt