한국어

← 목록으로

아파치 ActiveMQ 높은 위험 RCE Gap : 공격 체인의 5 단계 완료

itadol5j

CVE-2026-34197 간격 분석

Apache ActiveMQ는 높은 리스크 RCE 루프홀을 폭발

Apache ActiveMQ는 최근에 공개되었습니다.High-risk 원격 코드 구현 간격(CVE-2026-34197) assailant는 JVM 브로커의 Jologia JMX-HTTP 브리지를 통해 모든 코드를 시행 할 수 있습니다.

이 루프홀의 영향은 넓고, ActiveMQ 5.x 및 6.x 버전을 사용하는 모든 사용자는 즉각적인 관심을 필요로합니다.

Loopholes에 기본 정보

제품 정보 이름 *
비밀번호 모델 번호: CVE-2026-34197
심각한 수준 높은 위험 (RCE 원격 코드 실행)
사이트맵 CWE-20 (필요한 입력 유효성 검사), CWE-94 (코드 주입)
충격 성분 아파치 ActiveMQ 회사 소개
공격의 필수 인증된 사용자

• 수정 된 버전

  • 아파치 ActiveMQ 5.x: 모든 버전 < 5.19.4
  • 아파치 ActiveMQ 6.x::6.0.0 – 6.2.3( 6.2.3 제외)

재활 버전

  • 5.19.4로 업그레이드(5.x 시리즈 복구 버전)
  • 6.2.3로 업그레이드(6.x 시리즈 재활 버전)

구멍: 공격하는 5개 단계.

단계 1: 방문 Jolokia 교량

Apache ActiveMQ Classic은 웹 콘솔에 노출되었습니다. Jologia JMX-HTTP 브리지, 경로는 /api/jolokia/나는 모른다. 이 브리지는 HTTP를 통해 JMX 인터페이스에 액세스 할 수 있습니다.

2단계: Mbean 실행 작업 호출

기본 Jologia 액세스 정책모든 ActiveMQ Mbeans 허용(org.apache.activemq:*)는 실행 작업을 수행합니다. 이것은 공격자가 다양한 ActiveMQ 관리 방법을 호출 할 수 있다는 것을 의미합니다.

3 단계 : 맥시 건설

공격자는 호출 할 수 있습니다. BrokerService.addNetworkConnector(String) 또는 BrokerService.addConnector(String) 방법, 주의깊게 구성.그게 바로.VM 이동 방아쇠 브로커Config 모수.

단계 4: 로드 먼 봄 XML

BrokerConfig 매개 변수는 부하를 원격으로 지정합니다. 봄 XML는 Context를 적용합니다, 사용 ResourceXmlApplicationContext나는 모른다.

5 단계 : 모든 코드 실행

중요한 점은:RessourceXmlApplicationContext는 BrokerService 구성 전에 exemplified되었습니다.나는 모른다. 공격자는 같은 방법을 사용할 수 있습니다 : Runtime.exec() 브로커의 JVM에모든 코드를 실행나는 모른다.

왜 위험한가요?

  1. 인증 후 사용할 수 있습니다.: ActiveMQ 로그인 번호로 공격을 시작할 수 있습니다.
  2. 전체 제어, 브로커:RCE 루프홀은 assailant가 ActiveMQ 중개인의 JVM을 완전히 제어하는 것을 의미합니다.
  3. 이름 *: ActiveMQ는 비즈니스 수준의 뉴스를 위한 매체이며, 많은 회사가 사용하고 있습니다.
  4. 공격 사슬은 intact입니다.: 원격 스프링 XML → RCE → Mbean, 파업 경로 클리어

어떻게?

지금 업그레이드

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Interim 완화 측정

이 시간 동안 수행 할 수없는 경우, 고려 사항은 다음과 같습니다.

  • Jolokia 비활성화: ActiveMQ 설정에서 JMX-HTTP 브리지 비활성화
  • Limit Jologia 액세스 정책: 기본 정책 변경, 실행 실행
  • 인증 보안 강화: ActiveMQ의 인증 인증서가 공개되지 않음
  • 네트워크 고립: ActiveMQ 웹 콘솔에 대한 제한 액세스

공격을 확인.

  • ActiveMQ 브로커 로그를 비정상적인 addConnector/addNetworkConnect 통화로 확인
  • 외부 네트워크에서 Spring XML 로드 요청 확인
  • 브로커 JVM (Runtime.exec)에 대한 anomaly 프로세스의 생성을 모니터링

제품정보

CVE-2026-34197 하나RCE를 선도하는 전형적인 안전 구성의 사례::

  • ActiveMQ 기본 노출 Jologia JMX-HTTP 브리지
  • 기본 정책은 모든 Mbeans에 대한 실행 작업을 허용
  • assailant는 BrokerConfig 매개 변수를 사용하여 원격 스프링 XML을로드 할 수 있습니다.
  • 인증 구성 전에 봄 exemplify bean, RCE 결과

Apache ActiveMQ를 사용하는 경우, 즉시 버전을 확인하고 5.19.4 또는 6.2.3로 업그레이드하십시오!

High-risk 루프홀은 지연없이 수리됩니다.

공식 보안 Bulletin::https://activmq.apache.org/security-advisor.data/CVE-2026-34197-environment.txt