Polski

← Powrót do listy

Apache ActiveMQ Wysokie ryzyko RCE Gap: 5-stopniowe zakończenie łańcucha ataku

itadol5j

Analiza luki CVE- 2026- 34197

Apache ActiveMQ uruchamia lukę RCE wysokiego ryzyka

Apache ActiveMQ niedawno ujawnił jeden.Luka w zdalnym implementacji kodu wysokiego ryzyka(CVE- 2026- 34197) Napastnik może egzekwować każdy kod poprzez Jologia JMX- HTTP most na JVM Broker.

Wpływ tej luki jest szeroki, a wszyscy użytkownicy korzystający z ActiveMQ wersji 5.x i 6.x wymagają natychmiastowej uwagi.

Podstawowe informacje na temat luk

Właściwości Szczegóły
CVE ID CVE- 2026- 34197
Poważny poziom Wysokie ryzyko (zdalne wykonanie kodu RCE)
CWE CWE- 20 (niewłaściwa walidacja wejścia), CWE- 94 (wtrysk kodu)
Składnik oddziaływania Apache ActiveMQ Broker Przewodniczący
Wymagany atak Wymagane certyfikowane użytkowników

• Wersja dotyczy

  • Apache ActiveMQ 5.x: Wszystkie wersje < 5.19.4
  • Apache ActiveMQ 6.x:6, 0 - 6, 2.3(z wyłączeniem 6.2.3)

Wersja rehabilitacyjna

  • Aktualizacja do 5.19.4(wersja odzyskiwania serii 5.x)
  • Aktualizacja do 6.2.3(wersja rehabilitacyjna z serii 6.x)

Dziura: 5 kroków do ataku.

Krok 1: Odwiedź most Jolokia

Apache ActiveMQ Classic został odsłonięty na konsoli Web. Jologia JMX- HTTP Bridge, ścieżka jest /api/jolokia/Nie wiem. Ten most umożliwia dostęp do interfejsu JMX poprzez HTTP.

Krok 2: Zawołaj operację Mbean exec

Domyślna polityka dostępu do JologiiPozwól wszystkim ActiveMQ Mbean(org.apache.activemq: *) wykonuje operacje exec. Oznacza to, że atakujący mogą korzystać z różnych metod zarządzania ActiveMQ.

Krok 3: Konstrukcja złośliwości

Napastnicy mogą zadzwonić. BrokerService.addNetworkConnector(String) lub BrokerService.addConnector(String) Metoda, do starannie skonstruowanego.Zgadza się.Wyłącznik transferu VM BrokerConfig parametr.

Krok 4: Wczytywanie zdalnej wiosny XML

Parametr BrokerConfig określa zdalny załadunek Spring XML Zastosuj kontekst, ResourceXmlApplicationContextNie wiem.

Krok 5: Jakiekolwiek wykonanie kodu

Najważniejsze punkty to:ResourceXmlApplication Context został zilustrowany przed konfiguracją BrokerServiceNie wiem. Napastnik może stosować metodę taką jak: Runtime.exec() W sprawie JVM brokeraWykonaj dowolny kodNie wiem.

Dlaczego ta luka jest niebezpieczna?

  1. Można go używać po uwierzytelnieniu.: Za pomocą numeru logowania ActiveMQ można uruchomić atak.
  2. Pełna kontrola, broker: RCE luka oznacza, że napastnik ma pełną kontrolę nad JVM brokera ActiveMQ
  3. Skutki: ActiveMQ jest medium dla wiadomości na poziomie biznesowym, a wiele firm go używa.
  4. Łańcuch jest nietknięty.: Zadzwoń zdalny Spring XML → RCE z → Mbean, ścieżki strajku czyste

Jak?

Aktualizacja

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Tymczasowe środki łagodzące

Jeżeli obecnie nie można tego zrobić, można rozważyć:

  • Wyłącz Jolokia: Wyłącz most JMX- HTTP Jolokia w konfiguracji ActiveMQ
  • Ograniczenie polityki dostępu do Jologii: Zmiana domyślnej polityki, wyłączenie operacji exec
  • Zwiększenie bezpieczeństwa certyfikacji: Upewnij się, że certyfikat uwierzytelniania ActiveMQ nie zostanie ujawniony
  • Izolacja sieci: Ograniczenie dostępu do konsoli ActiveMQ Web

Sprawdź, czy nie ma ataku.

  • Sprawdź dziennik brokerów ActiveMQ przy pomocy nieprawidłowego połączenia addConnector / addNetworkConnect
  • Sprawdź wnioski o załadunek XML wiosną z sieci zewnętrznych
  • Monitoruj tworzenie procesu anomalii dla brokera JVM (Runtime.exec)

Streszczenie

CVE- 2026- 34197 jest jedenPrzypadek typowej konfiguracji niebezpiecznej prowadzącej do RCE:

  • ActiveMQ domyślnie narażone Jologia JMX- HTTP most
  • Domyślna polityka pozwala na operacje exec dla wszystkich Mbean
  • Napastnik może wczytać zdalne Spring XML używając parametru brokerConfig
  • Wiosenny przykład fasoli przed konfiguracją uwierzytelniania, co prowadzi do RCE

Jeśli używasz Apache ActiveMQ, sprawdź wersję natychmiast i uaktualnij ją do 5.19.4 lub 6.2.3!

Luki wysokiego ryzyka są naprawiane bezzwłocznie.

Oficjalny Biuletyn Bezpieczeństwa:https: / / activmq.apache.org / security- advisors.data / CVE- 2026- 34197- environment.txt