Nederlands

← Terug naar overzicht

Apache ActiveMQ Hoge Risico RCE Gap: 5-staps voltooiing van aanval keten

itadol5j

CVE-2026-34197 kloofanalyse

Apache ActiveMQ blast hoogrisico RCE maas

Apache ActiveMQ heeft onlangs een onthuld.Tenuitvoerleggingskloof tussen hoogrisicocodes op afstand(CVE-2026-3497) De aanvaller kan elke code afdwingen via de Jologia JMX-HTTP brug op de JVM van Broker.

De impact van deze maas is breed, en alle gebruikers met ActiveMQ 5.x en 6.x versies vereisen onmiddellijke aandacht.

Basisinformatie over mazen

Eigenschappen Gegevens
CVE ID CVE-2026-34197
Ernstig niveau Hoog risico (RCE-uitvoering van externe code)
CWE CWE-20 (ongepaste inputvalidatie), CWE-94 (codeinjectie)
Impactcomponent Apache ActiveMQ Broker
Vereiste aanval Vereist gecertificeerde gebruikers

• Betrokken versie

  • Apache ActiveMQ 5.x: Alle versies < 5.19.4
  • Apache ActiveMQ 6.x:6.2.3(excl. 6.2.3)

Herstelversie

  • Upgrade naar 5.19.4(5.x series recovery versie)
  • Upgrade naar 6.2.3(6.x series rehabilitatieversie)

Vijf stappen om aan te vallen.

Stap 1: Bezoek Jolokia Bridge

Apache ActiveMQ Classic werd blootgesteld op de Webconsole. Jologia JMX-HTTP Bridge, het pad is /api/jolokia/Ik weet het niet. Deze brug geeft toegang tot de JMX interface via HTTP.

Stap 2: Bel Mbean Exec operatie

Standaard toegangsbeleid voor JologiaLaat alle ActiveMQ Mbeans(org.apache.activemq:*) uitvoeren exec operaties. Dit betekent dat de aanvallers een beroep kunnen doen op een verscheidenheid van ActiveMQ management methoden.

Stap 3: Het opbouwen van kwaadaardigheid

De aanvallers kunnen bellen. BrokerService.addNetworkConnector(String) of BrokerService.addConnector(String) De methode, in de zorgvuldig gebouwde.Dat klopt.VM-overdrachtsstarter BrokerConfig parameter.

Stap 4: Laden remote lente XML

BrokerConfig parameter specificeert de belastingsafstand Spring XML Context toepassen,use ResourceXmlApplicationContextIk weet het niet.

Stap 5: Uitvoer van elke code

De belangrijkste punten zijn:RessourceXmlApplicationContext is getoond voordat de BrokerService configuratieIk weet het niet. De aanvaller kan een methode gebruiken zoals: Runtime.exec() Op de JVM van makelaarVoer een code uitIk weet het niet.

Waarom is dit gat gevaarlijk?

  1. U kunt het gebruiken na aanmelding.: Met een ActiveMQ login nummer kunt u een aanval starten.
  2. Volledige controle, makelaar:RCE maas betekent dat de aanvaller volledige controle heeft over de JVM van ActiveMQ makelaar
  3. Gevolgen: ActiveMQ is een medium voor business-level nieuws, en veel bedrijven gebruiken het.
  4. De aanvalsketen is intact.: Call remote lente XML → RCE van → Mbean, slag pad duidelijk

Hoe?

Nu upgraden

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Voorlopige mitigatiemaatregelen

Indien dit voorlopig niet mogelijk is, kan worden overwogen:

  • Jolokia uitschakelen: Jolokia JMX-HTTP-brug uitschakelen in ActiveMQ-configuratie
  • Toegangsbeleid voor Jologia beperken: Wijzig standaardbeleid, schakel exec operaties uit
  • Verbetering van de certificeringszekerheid: Zorg ervoor dat het authenticatiecertificaat voor ActiveMQ niet openbaar wordt gemaakt
  • Netwerkisolatie: Beperk de toegang tot de ActiveMQ Web console

Controleer op aanval.

  • Controleer de ActiveMQ broker log met een abnormale addConnector/addNetworkConnect call
  • Controleren op Lente XML-laadverzoeken van externe netwerken
  • Monitor de creatie van een anomalieproces voor broker JVM (Runtime.exec)

Samenvatting

CVE-2026-34197 is éénTyperende onveilige configuratie die leidt tot RCE:

  • ActiveMQ standaard blootgesteld Jologia JMX-HTTP brug
  • Standaard beleid staat exec operaties toe voor alle Mbeans
  • De aanvaller kan externe Spring XML laden met behulp van de brokerConfig parameter
  • Voorjaarsvoorbeeld van boon vóór authenticatieconfiguratie, resulterend in RCE

Als u Apache ActiveMQ gebruikt, controleer dan onmiddellijk de versie en upgrade deze naar 5.19.4 of 6.2.3!

De achterpoortjes met een hoog risico worden onverwijld hersteld.

Officieel veiligheidsbulletin:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt