Norsk

← Tilbake til listen

Apache ActiveMQ Høy risiko RCE Gap: 5-trinns gjennomføring av angrepskjeden

itadol5j

CVE-2026-34197 gap analyse

Apache ActiveMQ sprenger høy-risiko RCE loophole

Apache ActiveMQ har nylig avslørt en.Høy risiko fjernkode implementering gap(CVE-2026-34197) Assailanten kan håndheve enhver kode gjennom Jologia JMX-HTTP-broen på JVM av Broker.

Effekten av dette loophole er bred, og alle brukere som bruker ActiveMQ 5.x og 6.x versjoner krever umiddelbar oppmerksomhet.

Grunnleggende informasjon om loopholes

Egenskaper Detaljer
CVE-ID CVE-2026-34197
Alvorlig nivå Høy risiko (RCE fjernkodeutførelse)
CWE CWE-20 (upassende input validering), CWE-94 (kodeinjeksjon)
Effektkomponent Apache ActiveMQ Broker
Forutsetning for angrep Krev sertifiserte brukere

• Påvirket versjon

  • Apache ActiveMQ 5.x: Alle versjoner < 5.19.4
  • Apache ActiveMQ 6.x:)6.0.0 – 6.2.3(unntatt 6.23)

Rehabilitering

  • Oppgrader til 5.19,4(5.x serie recovery versjon)
  • Oppgradering til 6,2.3(6.x serie rehabiliteringsversjon)

Fem skritt å angripe.

Trinn 1: Besøk Jolokia Bridge

Apache ActiveMQ Classic ble eksponert på webkonsollen. Jologia JMX-HTTP BridgeVeien er /api/jolokia/Jeg vet ikke. Denne broen gir tilgang til JMX-grensesnittet via HTTP.

Trinn 2: Ring Mbean Executive operasjon

Standard tilgangspolicy for JologiaTillat alle ActiveMQ Mbeans(org.apache.activemq:*) utføre executive operasjoner. Dette betyr at angriperne kan ringe på en rekke ActiveMQ-styringsmetoder.

Trinn 3: Bygge malice

Angriperne kan ringe. BrokerService.addNetworkConnector(String) eller BrokerService.addConnector(String) Metoden, inn i den nøye konstruerte.Det stemmer.VM overføring utløser BrokerConfig parameter.

Trinn 4: Last inn ekstern vår XML

BrokerConfig-parameteren angir belastningsfjerning Vår XML Bruk kontekst,bruk ResourceXmlApplicationContextJeg vet ikke.

Trinn 5: Enhver kodeutførelse

Nøkkelpunktene er:RessourceXmlApplicationContext har blitt eksemplifisert før konfigurasjonen av BrokerServiceJeg vet ikke. Angriperen kan bruke en metode som: Runtime.exec() På JVM av meglerKjør en kodeJeg vet ikke.

Hvorfor er dette loophole farlig?

  1. Du kan bruke den etter autentisering.: Med et ActiveMQ-innloggingsnummer kan du starte et angrep.
  2. Full kontroll, megler:RCE loophole betyr at assailanten har full kontroll over JVM av ActiveMQ megler
  3. ImplicasjonerActiveMQ er et medium for forretnings-nivå nyheter, og mange selskaper bruker det.
  4. Angrepskjeden er intakt.: Ring ekstern vår XML → RCE fra → Mbean, slå sti klar

Hvordan?

Oppgrader nå

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Midlertidige reduksjonstiltak

Hvis dette ikke kan gjøres for tiden, kan det vurderes:

  • Slå av Jolokia: Deaktiver Jolokia JMX-HTTP bro i ActiveMQ konfigurasjon
  • Begrens tilgangspolicy for Jologia: Endre standardpolitikk, deaktivere operasjoner
  • Styrke sertifiseringssikkerhet: Sørg for at autentiseringssertifikatet for ActiveMQ ikke er beskrevet
  • Nettbasert isolasjon: Begrens tilgangen til ActiveMQ Web konsollen

Sjekk etter angrep.

  • Sjekk ActiveMQ meglerloggen med en unormal addConnector/addNetworkConnect-samtale
  • Sjekk vår XML-lasting av forespørsler fra eksterne nettverk
  • Overvåke opprettelsen av en anomalisk prosess for megler JVM (Runtime.exec)

Sammendrag

CVE-2026-34197 er enCase of typisk usikre konfigurasjon som fører til RCE:)

  • ActiveMQ standard eksponert Jologia JMX-HTTP-bro
  • Standard policy tillater drift av alle Mbeans
  • Assaliant kan laste fjernfjær XML ved hjelp av meglerConfig parameteren
  • Spring eksemplificer bønn før autentiseringskonfigurasjon, noe som resulterer i RCE

Hvis du bruker Apache ActiveMQ, sjekk versjonen umiddelbart og oppgrader den til 5.19,4 eller 6.2.3!

Høy risiko sløyfehull repareres uten forsinkelse.

Offisiell sikkerhetsnote:)https://activmq.apache.org/security-advisors.data/CVE-2026-34197-miljø.txt