Čeština

← Zpět na seznam

Apache ActiveMQ Vysoké riziko RCE Gap: 5- krok dokončení útočného řetězce

itadol5j

CVE- 2026- 34197 analýza mezery

Apache ActiveMQ střílí vysoce rizikový RCE mezera

Apache ActiveMQ nedávno jeden odhalil.Vysoce riziková mezera v implementaci dálkového kódu(CVE- 2026- 34197) Útočník může prosadit jakýkoliv kód přes Jologia JMX-HTTP most na JVM Broker.

Dopad této mezery je široký a všichni uživatelé používající ActiveMQ 5.x a 6.x verze vyžadují okamžitou pozornost.

Základní informace o skulinách

Vlastnosti Podrobnosti
ID CVE CVE- 2026- 34197
Závažné úrovně Vysoké riziko (provedení dálkového kódu RCE)
CWE CWE-20 (nevhodná validace vstupů), CWE-94 (vstřikování kódu)
Komponenta dopadu Apache ActiveMQ Broker
Předpoklad útoku Vyžadovat certifikované uživatele

• Postižená verze

  • Apache ActiveMQ 5.x: Všechny verze < 5.19.4
  • Apache ActiveMQ 6.x:6, 0, 0 - 6, 2(kromě 6.2.3)

Rehabilitační verze

  • Aktualizace na 5.19.4(verze pro obnovu řady 5.x)
  • Aktualizace na 6.2.3(6.x série rehabilitační verze)

Pět kroků k útoku.

Krok 1: Navštivte Jolokia Bridge

Apache ActiveMQ Classic byla vystavena na webové konzoli. Jologia JMX- HTTP Bridge, cesta je /api/jolokia/Nevím. Tento most umožňuje přístup k JMX rozhraní přes HTTP.

Krok 2: Volejte operátora Mbean

Výchozí přístupová politika JologiePovolit všechny ActiveMQ Mbeans(org.apache.activemq: *) provádět exec operace. To znamená, že útočníci mohou vyvolat různé metody řízení ActiveMQ.

Krok 3: Vytvoření zloby

Útočníci můžou zavolat. BrokerService.addNetworkConnector(String) nebo BrokerService.addConnector(String) Metoda, do pečlivě postavené.Správně.Spouštěč VM přenosu BrokerConfig parametr.

Krok 4: Načíst vzdálené jaro XML

Parametr BrokerConfig určuje vzdálenou zátěž Name, použití ResourceXmlApplicationContextNevím.

Krok 5: Jakékoli provedení kódu

Klíčovými body jsou:RessourceXmlApplicationContext byl před konfigurací BrokerService příklademNevím. Útočník může použít metodu jako: Runtime.exec() Na JVM makléřeSpustit jakýkoliv kódNevím.

Proč je tahle skulina nebezpečná?

  1. Můžete ji použít po ověření.: S ActiveMQ přihlašovacím číslem, můžete spustit útok.
  2. Plná kontrola, makléř: RCE skulina znamená, že útočník má kompletní kontrolu JVM ActiveMQ broker
  3. Důvody: ActiveMQ je médium pro zprávy na obchodní úrovni, a mnoho společností jej používají.
  4. Útočný řetězec je neporušený.: Volejte vzdálené jaro XML → RCE od → Mbean, stávka cesta čistá

Jak?

Aktualizovat nyní

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Prozatímní zmírňující opatření

Nelze-li tak učinit v současné době, lze zvážit:

  • Zakázat Jolokia: Zakázat Jolokia JMX-HTTP most v konfiguraci ActiveMQ
  • Omezení politiky přístupu Jologie: Změnit výchozí pravidla, zakázat provoz exec
  • Posílení bezpečnosti certifikace: Ujistěte se, že ověřovací certifikát pro ActiveMQ není zveřejněn
  • Síťová izolace: Omezte přístup do webové konzole ActiveMQ

Zkontrolujte útok.

  • Zaškrtněte ActiveMQ broker log s abnormální addConnector / addNetworkConnect volání
  • Zkontrolovat žádosti o jarní XML zatížení z externích sítí
  • Monitor vytvoření procesu anomálie pro broker JVM (Runtime.exec)

Shrnutí

CVE- 2026- 34197 je jednaPřípad typické nebezpečné konfigurace vedoucí k RCE:

  • ActiveMQ default exposure Jologia JMX-HTTP bridge
  • Výchozí politika umožňuje exec operace pro všechny Mbeans
  • Útočník může načíst vzdálené jaro XML pomocí parametru brokerConfig
  • Jarní ukázka fazolí před konfigurací autentizace, výsledkem je RCE

Pokud používáte Apache ActiveMQ, okamžitě zkontrolujte verzi a aktualizujte ji na 5.19.4 nebo 6.2.3!

Vysokorizikové mezery jsou neprodleně opraveny.

Úřední bezpečnostní bulletin:Viz poznámka pod čarou1.