Suomi

← Takaisin luetteloon

Apache ActiveMQ Suuri riski RCE-puute: 5 askel hyökkäysketjun loppuun saattaminen

itadol5j

CVE-2026-34197

Apache ActiveMQ räjäyttää korkean riskin RCE-reiän

Apache ActiveMQ on äskettäin paljastanut yhden.Suuririskisten etäsääntöjen täytäntöönpanovaje(CVE-2026-34197) Hyökkääjä voi valvoa minkä tahansa koodin kautta Jologia JMX-HTTP silta JVM: n Broker.

Tämän porsaanreiän vaikutus on laaja, ja kaikki ActiveMQ 5.x- ja 6.x-versioiden käyttäjät tarvitsevat välitöntä huomiota.

Perustietoa porsaanrei'istä

Ominaisuudet Yksityiskohdat
CVE-tunniste CVE-2026-34197
Vakava taso Suuri riski (RCE:n etäkoodin suoritus)
CWE CWE-20 (epäasianmukainen syötteen validointi), CWE-94 (koodiin injektointi)
Iskukomponentti Apache ActiveMQ Välittäjä
Hyökkäyksen edellytykset Vaadi sertifioituja käyttäjiä

• Vaikuttaa

  • Apache ActiveMQ 5.x: Kaikki versiot < 5.19.4
  • Apache ActiveMQ 6.x:6, 0(lukuun ottamatta 6.2.3 kohtaa)

Kuntoutusversio

  • Päivitys 5,19.4 kohtaan(5.x-sarjan palautusversio)
  • Päivitetään arvoon 6.2.3(6.x-sarjan kuntoutusversio)

Viisi askelta hyökkäykseen.

Vaihe 1: Käy Jolokian sillalla

Apache ActiveMQ Classic altistui Web-konsolilla. Jologia JMX-HTTP Bridge, polku on /api/jolokia/En tiedä. Tämä silta mahdollistaa pääsyn JMX-rajapintaan HTTP:n kautta.

Vaihe 2: Soita Mbean Exec operation

OletusJologian käyttöoikeusSalli kaikki ActiveMQ Mbeans(org.apache.activemq:*) suorittaa tehtäviä. Tämä tarkoittaa, että hyökkääjät voivat käyttää erilaisia ActiveMQ hallintamenetelmiä.

Vaihe 3: Rakentaminen

Hyökkääjät voivat soittaa. BrokerService.addNetworkConnector(String) tai BrokerService.addConnector(String) Menetelmä, huolellisesti rakennettu.Aivan.VM-siirto laukaisin BrokerConfig parametri.

Vaihe 4: Lataa etäkevään XML

BrokerConfig-parametri määrittää kuorman kaukosäädön Kevään XML-sovellus, käyttö ResourceXmlApplicationContextEn tiedä.

Vaihe 5: Mikä tahansa koodin suoritus

Tärkeimmät seikat ovat seuraavat:RessourceXmlApplicationContext on esimerkillinen ennen BrokerService-kokoonpanoaEn tiedä. Hyökkääjä voi käyttää menetelmää kuten: Runtime.exec() Välittäjän JVM:stäSuorita mikä tahansa koodiEn tiedä.

Miksi tämä porsaanreikä on vaarallinen?

  1. Voit käyttää sitä tunnistautumisen jälkeen.: ActiveMQ-kirjautumisnumerolla voit käynnistää hyökkäyksen.
  2. Täysi kontrolli, välittäjä:RCE porsaanreikä tarkoittaa, että hyökkääjä on täysin hallinnassa JVM ActiveMQ välittäjä
  3. Vaikutukset: ActiveMQ on väline liiketoiminnan tason uutisia, ja monet yritykset käyttävät sitä.
  4. Hyökkäysketju on ehjä.: Soita etäkevät XML → RCE alkaen → Bean, lakko polku selvä

Miten?

Päivitä nyt

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Väliaikaiset hillitsemistoimenpiteet

Jos näin ei toistaiseksi voida tehdä, voidaan harkita

  • Poista Jolokia käytöstä: Poista Jolokia JMX-HTTP-silta käytöstä ActiveMQ-asetuksissa
  • Rajaa Jologian pääsykäytäntö: Muokkaa oletuskäytäntöä, poista käytöstä exec-toiminnot
  • Sertifiointiturvan parantaminen: Varmistetaan, ettei ActiveMQ:n todentamistodistusta paljasteta
  • Verkon eristäminen: Rajoita pääsyä ActiveMQ Web -konsoliin

Tarkistakaa hyökkäys.

  • Tarkista ActiveMQ-välittäjäloki epänormaalilla lisäykselläConnector/addNetworkConnect-puhelu
  • Tarkista kevään XML-latauspyynnöt ulkoisista verkoista
  • Seuraa poikkeavuusprosessin luomista välittäjä JVM (Runtime.exec)

Yhteenveto

CVE-2026-34197 on yksiTyypillinen vaarallinen konfiguraatio johtaa RCE:

  • ActiveMQ oletuspaljas Jologia JMX-HTTP silta
  • Oletuskäytäntö mahdollistaa kaikkien papujen toiminnan
  • Hyökkääjä voi ladata etäkevät XML käyttäen välittäjäConfig-parametri
  • Kevätesimerkki pavun ennen tunnistuskokoonpanoa, jolloin RCE

Jos käytät Apache ActiveMQ, tarkista versio välittömästi ja päivitä se 5.19.4 tai 6.2.3!

Vaaralliset porsaanreiät korjataan viipymättä.

Virallinen turvallisuustiedote:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt