Español

← Volver a la lista

Apache ActiveMQ Gap RCE de alto riesgo: 5 pasos de finalización de la cadena de ataque

itadol5j

CVE-2026-34197 análisis de deficiencias

Apache ActiveMQ blasts alto riesgo RCE loophole

Apache ActiveMQ ha revelado recientemente uno.brecha en la aplicación de códigos remotos de alto riesgo(CVE-2026-34197) El asaltante puede ejecutar cualquier código a través del puente Jologia JMX-HTTP en el JVM de Broker.

El impacto de esta laguna es amplio, y todos los usuarios que utilizan versiones ActiveMQ 5.x y 6.x requieren atención inmediata.

Información básica sobre lagunas

Propiedades Detalles
CVE ID CVE-2026-34197
Niveles graves Alto riesgo (ejecución de código remoto RCE)
CWE CWE-20 (validación de entrada inadecuada), CWE-94 (inyección de código)
Componente de impacto Apache ActiveMQ Broker
Prerrequisito de ataque Consultar usuarios certificados

• Versión afectada

  • Apache ActiveMQ 5.x: Todas las versiones < 5.19.4
  • Apache ActiveMQ 6.x:6.0.0 – 6.2.3(excluidos 6.2.3)

Versión de rehabilitación

  • Actualización a 5.19.4Versión de recuperación de series (5.x)
  • Actualización a 6.2.3(6.x versión de rehabilitación)

Cinco pasos para atacar.

Paso 1: Visita el Puente Jolokia

Apache ActiveMQ Classic fue expuesto en la consola Web. Jologia JMX-HTTP Bridge, el camino es /api/jolokia/No lo sé. Este puente permite el acceso a la interfaz JMX vía HTTP.

Paso 2: Call Mbean exec operation

Default Jologia Access PolicyPermitir todos los Mbeans ActiveMQ(org.apache.activemq:*) realizar operaciones de ejecutivos. Esto significa que los atacantes pueden recurrir a una variedad de métodos de gestión ActiveMQ.

Paso 3: Construyendo la malicia

Los atacantes pueden llamar. BrokerService.addNetworkConnector(String) o BrokerService.addConnector(String) El método, en el cuidadosamente construido.Así es.Dispositivo de transferencia VM BrokerConfig parámetro.

Paso 4: Cargar XML de resort remoto

El parámetro BrokerConfig especifica la distancia de carga Contexto de aplicación XML de primavera,uso ResourceXmlApplicationContextNo lo sé.

Paso 5: Cualquier ejecución de código

Los puntos clave son:RessourceXmlApplicationContext ha sido ejemplificado antes de la configuración de BrokerServiceNo lo sé. El atacante puede utilizar un método como: Runtime.exec() En el JVM de corredorEjecute cualquier códigoNo lo sé.

¿Por qué es peligroso este agujero?

  1. Puedes usarlo después de la autenticación.: Con un número de login ActiveMQ, puede lanzar un ataque.
  2. Control completo, corredor:RCE loophole significa que el agresor tiene el control completo del JVM de ActiveMQ broker
  3. Implications: ActiveMQ es un medio para las noticias de nivel empresarial, y muchas empresas lo están utilizando.
  4. La cadena de ataque está intacta.: Llamar a distancia Spring XML → RCE desde → Mbean, camino de huelga claro

¿Cómo?

Actualizar ahora

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Medidas provisionales de mitigación

Si esto no puede hacerse por el momento, se puede considerar:

  • Desactivar Jolokia: Desactivar el puente Jolokia JMX-HTTP en configuración ActiveMQ
  • Limit Jologia access policy: Modificar la política predeterminada, operaciones de exec deshabilitación
  • Mejora de la seguridad de la certificación: Asegúrese de que el certificado de autenticación para ActiveMQ no se divulgue
  • Aislamiento de la red: Acceso limitado a la consola Web ActiveMQ

Comprueba el ataque.

  • Compruebe el registro de corredor ActiveMQ con un addConnector/addNetworkConnect anormal
  • Consultar las solicitudes de carga de Spring XML de redes externas
  • Supervisar la creación de un proceso de anomalía para el broker JVM (Runtime.exec)

Resumen

CVE-2026-34197 es unoCaso de configuración insegura típica que conduce a RCE:

  • ActiveMQ predeterminado expuesto puente Jologia JMX-HTTP
  • Política predeterminada permite operaciones de exec para todos los Mbeans
  • El asaltante puede cargar XML de primavera remoto utilizando el parámetro brokerConfig
  • Primavera ejemplifica el frijol antes de la configuración de autenticación, resultando en RCE

Si está usando Apache ActiveMQ, compruebe la versión inmediatamente y actualice a 5.19.4 o 6.2.3!

Las lagunas de alto riesgo se reparan sin demora.

Boletín Oficial de Seguridad:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt