Dansk

← Tilbage til listen

Apache ActiveMQ Høj risiko RCE Gap: 5-trins afslutning af angreb kæde

itadol5j

CVE- 2026- 34197 gap analyse

Apache ActiveMQ eksploderer højrisiko RCE smuthul

Apache ActiveMQ har for nylig afsløret en.Kløft for implementering af fjernkode med høj risiko(CVE- 2026- 34197) Den overfaldsmand kan håndhæve enhver kode gennem Jologia JMX- HTTP bro på JVM af Broker.

Virkningen af dette smuthul er bred, og alle brugere ved hjælp af ActiveMQ 5.x og 6.x versioner kræver øjeblikkelig opmærksomhed.

Grundlæggende oplysninger om smuthuller

Egenskaber Detaljer
CVE ID CVE- 2026- 34197
Alvorligt niveau Høj risiko (udførelse af RCE-fjernkode)
CWE CVE-20 (uhensigtsmæssig inputvalidering), CVE-94 (kodeinjektion)
Anslagskomponent Apache ActiveMQ Broker
Forudsætninger for angreb Kræv certificerede brugere

• Påvirket version

  • Apache ActiveMQ 5.x: Alle versioner < 5.19.4
  • Apache ActiveMQ 6. x:6.0.0 - 6.2.3(undtagen 6.2.3)

Rehabilitering

  • Opgradering til 5.19.4(5.x serie opsving version)
  • Opgradering til 6.2.3(6.x serie rehabiliteringsversion)

Fem trin at angribe.

Trin 1: Besøg Jolokia Bridge

Apache ActiveMQ Classic blev afsløret på webkonsollen. Jologia JMX- HTTP Bridge, stien er /api/jolokia/Det ved jeg ikke. Denne bro giver adgang til JMX interface via HTTP.

Trin 2: Call Mesne exec operation

Standard Jologia adgangspolitikTillad alle ActiveMQ Mbeans(org.apache.activemq: *) udfører exec-operationer. Det betyder, at angriberne kan kræve en række af ActiveMQ management metoder.

Trin 3: Konstruktion af ondskab

Angriberne kan ringe. BrokerService.addNetworkConnector(String) eller BrokerService.addConnector(String) Metoden, ind i den omhyggeligt konstrueret.Det er rigtigt.VM overførselsudløser BrokerConfig parameter.

Trin 4: Load Remote Spring XML

BrokerConfig parameter angiver belastningen fjernbetjening Forår XML Anvend kontekst, brug ResourceXmlApplicationContextDet ved jeg ikke.

Trin 5: Enhver udførelse af kode

De vigtigste punkter er:RessourceXmlApplicationContext er blevet eksemplificeret før BrokerService konfigurationenDet ved jeg ikke. Angriberen kan bruge en metode som: Runtime.exec() På JVM mæglerKør alle koderDet ved jeg ikke.

Hvorfor er dette smuthul farligt?

  1. Du kan bruge det efter godkendelse.: Med et ActiveMQ login nummer, kan du starte et angreb.
  2. Fuld kontrol, mægler: RCE smuthul betyder, at overfaldsmanden har fuld kontrol over JVM af ActiveMQ mægler
  3. Konsekvenser: ActiveMQ er et medium for virksomhedsnyheder, og mange virksomheder bruger det.
  4. Angrebskæden er intakt.: Call remote Spring XML → RCE fra → Bønne, strejke sti klar

Hvordan?

Opgrader nu

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Midlertidige afbødende foranstaltninger

Hvis dette ikke er muligt indtil videre, kan der tages hensyn til:

  • Deaktivér Jolokia: Deaktivér Jolokia JMX- HTTP-bro i ActiveMQ konfiguration
  • Begræns Jologia adgangspolitik: Ændr standardpolitik, deaktivér exec-operationer
  • Forbedring af certificeringssikkerheden: Sørg for, at godkendelsescertifikatet for ActiveMQ ikke offentliggøres
  • Netværksisolation: Begræns adgangen til ActiveMQ Web konsol

Tjek for angreb.

  • Tjek ActiveMQ mægler log med en unormal addConnector / addNetworkConnect opkald
  • Check for Spring XML indlæsningsanmodninger fra eksterne netværk
  • Overvågning af oprettelsen af en anomali proces for mægler JVM (Runtime.exec)

Oversigt

CVE- 2026- 34197 er énTilfælde af typisk usikker konfiguration, der fører til RCE:

  • ActiveMQ standard eksponeret Jologia JMX- HTTP bro
  • Standard politik tillader exec operationer for alle Mbeans
  • Overfaldsmanden kan indlæse ekstern Spring XML ved hjælp af brokerConfig parameter
  • Forår eksemplificere bønne før godkendelse konfiguration, hvilket resulterer i RCE

Hvis du bruger Apache ActiveMQ, skal du straks kontrollere versionen og opgradere den til 5.19.4 eller 6.2.3!

Højrisikosmuthuller repareres straks.

Officiel sikkerhedsbulletin:https: / / activmq.apache.org / security- advisors.data / CVE- 2026- 34197- environment.txt