Português

← Voltar à lista

Apache ActiveMQ High Risk RCE Gap: 5 passos de conclusão da cadeia de ataque

itadol5j

Análise de gap CVE-2026-34197

Apache ActiveMQ explode falha RCE de alto risco

O Apache ActiveMQ revelou um recentemente.Gap de implementação de código remoto de alto risco(CVE-2026-34197) O agressor pode impor qualquer código através da ponte JMX-HTTP na JVM do Broker.

O impacto desta lacuna é amplo, e todos os usuários usando versões ActiveMQ 5.x e 6.x requerem atenção imediata.

Informações básicas sobre lacunas

Propriedades Detalhes
ID CVE CVE-2026-34197
Nível grave Risco elevado (execução de código remoto RCE)
CWE CWE-20 (validação de entrada inadequada), CWE-94 (injecção de código)
Componente de Impacto Apache ActiveMQ Corretor
Pré-requisito de ataque Requer usuários certificados

• Versão afetada

  • Apache ActiveMQ 5. x: Todas as versões < 5.19.4
  • Apache ActiveMQ 6. x:6.0.0 – 6.2.3(excluindo 6.2.3)

Versão da reabilitação

  • Actualização para 5.19.4(5.x versão da recuperação da série)
  • Actualização para 6.2.3Versão de reabilitação da série (6.x)

Cinco passos para atacar.

Passo 1: Visite a Ponte Jolokia

O Apache ActiveMQ Classic foi exposto no console Web. JMX-HTTP Bridge, o caminho é /api/jolokia/Não sei. Esta ponte permite o acesso à interface JMX via HTTP.

Passo 2: Chamar operação executiva do Mbean

Política de Acesso à Jologia PadrãoPermitir todos os Mbeans ActiveMQ(org.apache.activemq:*) realizar operações executivas. Isto significa que os atacantes podem recorrer a uma variedade de métodos de gestão ActiveMQ.

Passo 3: Construir malícia

Os atacantes podem ligar. BrokerService.addNetworkConnector(String) ou BrokerService.addConnector(String) O método, no cuidadosamente construído.Isso mesmo.Ativador de transferência de VM CorretorConfig parâmetro.

Passo 4: Carregar XML de mola remota

O parâmetro BrokerConfig especifica o comando de carga XML de mola Aplicar o Contexto,usar ResourceXmlApplicationContextNão sei.

Passo 5: Qualquer execução de código

Os pontos-chave são:RessourceXmlApplicationContext foi exemplificado antes da configuração do BrokerServiceNão sei. O atacante pode usar um método como: Runtime.exec() Na JVM do corretorExecutar qualquer códigoNão sei.

Porque é que esta brecha é perigosa?

  1. Você pode usá-lo após a autenticação.: Com um número de login ActiveMQ, você pode lançar um ataque.
  2. Controle total, corretor:A brecha do RCE significa que o agressor tem controle completo da JVM do corretor ActiveMQ
  3. Implicações: ActiveMQ é um meio para notícias de nível empresarial, e muitas empresas estão usando-o.
  4. A cadeia de ataque está intacta.: Chamada remota Primavera XML → RCE de → Mbean, caminho de ataque claro

Como?

Atualizar agora

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Medidas de atenuação provisórias

Se tal não puder ser feito por enquanto, pode considerar-se:

  • Desabilitar Jolokia: Desactivar a ponte Jolokia JMX-HTTP na configuração ActiveMQ
  • Limitar a política de acesso à Jologia: Modificar a política padrão, desativar as operações exec
  • Aumentar a segurança da certificação: Certifique-se de que o certificado de autenticação do ActiveMQ não é divulgado
  • Isolamento da rede: Limitar o acesso à consola Web ActiveMQ

Procurem por ataque.

  • Verifique o log do corretor ActiveMQ com uma chamada de addConnector/addNetworkConnect anormal
  • Verificar os pedidos de carregamento XML da Primavera a partir de redes externas
  • Monitorar a criação de um processo de anomalia para o corretor JVM (Runtime.exec)

Resumo

CVE-2026-34197 é umCaso de configuração típica insegura que conduz à RCE:

  • AtivoMQ padrão exposto JMX-HTTP bridge
  • A política padrão permite operações executivas para todos os Mbeans
  • O agressor pode carregar XML de mola remoto usando o parâmetro brokerConfig
  • A mola exemplifica o bean antes da configuração da autenticação, resultando em RCE

Se você estiver usando o Apache ActiveMQ, verifique a versão imediatamente e atualize-a para 5.19.4 ou 6.2.3!

As lacunas de alto risco são reparadas sem demora.

Boletim Oficial de Segurança:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt