Русский

← Вернуться к списку

Apache ActiveMQ RCE Gap: 5-ступенчатое завершение цепочки атак

itadol5j

Анализ разрывов CVE-2026-34197

Apache ActiveMQ взрывает лазейку RCE

Apache ActiveMQ недавно показал один из них.Пробел в реализации удаленного кода высокого риска(CVE-2026-34197) Нападавший может применить любой код через мост Jologia JMX-HTTP на JVM брокера.

Влияние этой лазейки велико, и все пользователи, использующие версии ActiveMQ 5.x и 6.x, требуют немедленного внимания.

Базовая информация о лазейках

Свойства Подробности
Идентификатор CVE CVE-2026-34197
Серьезный уровень Высокий риск (выполнение удаленного кода RCE)
КВЕ CWE-20 (ненадлежащая проверка ввода), CWE-94 (впрыск кода)
Компонент воздействия Apache ActiveMQ брокер
Предпосылки нападения Требуют сертифицированных пользователей

• Пострадавшая версия

  • Apache ActiveMQ 5.xВсе версии < 5.19.4
  • Apache ActiveMQ 6.x:6.0.0 - 6.2.3(за исключением 6.2.3)

Реабилитационная версия

  • Обновление до 5.19.45.x версия для восстановления серии
  • Обновление до 6.2.36.x реабилитационная версия

Дыра: пять шагов к атаке.

Шаг 1: Посетите мост Джолокия

Apache ActiveMQ Classic был представлен на веб-консоли. Мост Jologia JMX-HTTPПуть есть путь /api/jolokia/Я не знаю. Этот мост обеспечивает доступ к интерфейсу JMX через HTTP.

Шаг 2: Позвоните в Mbean

Политика доступа JologiaРазрешить использование ActiveMQ Mbeans(org.apache.activemq:*) выполняет операции exec. Это означает, что злоумышленники могут использовать различные методы управления ActiveMQ.

Шаг 3: Построение злобы

Нападающие могут позвонить. BrokerService.addNetworkConnector(String) или BrokerService.addConnector(String) Метод, в тщательно сконструированный.Правильно.VM трансферный триггер БрокерКонфиг параметр.

Шаг 4: Загрузка удаленной весны XML

Параметр BrokerConfig определяет удаленную нагрузку Весенний XML Apply Contextиспользовать ResourceXmlApplicationContextЯ не знаю.

Шаг 5: Любое выполнение кода

Ключевыми моментами являются:RessourceXmlApplicationContext был приведен в качестве примера до конфигурации BrokerService.Я не знаю. Злоумышленник может использовать такой метод, как: Runtime.exec() О JVM брокераВыполнять любой кодЯ не знаю.

Почему эта лазейка опасна?

  1. Его можно использовать после аутентификации.С номером входа в ActiveMQ вы можете начать атаку.
  2. Полный контроль, брокерЛазейка RCE означает, что злоумышленник имеет полный контроль над JVM брокера ActiveMQ.
  3. ПоследствияActiveMQ является средством для новостей бизнес-уровня, и многие компании используют его.
  4. Цепь атаки не повреждена.Позвоните в удаленный Spring XML → RCE из Mbean, путь удара ясен

Как?

Обновить сейчас

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Временные меры по смягчению последствий

Если это не может быть сделано в настоящее время, можно рассмотреть:

  • Инвалидная JolokiaМост Jolokia JMX-HTTP в конфигурации ActiveMQ
  • Ограничение доступа JologiaИзменение политики дефолта, отключение операций exec
  • Повышение сертификационной безопасностиУбедитесь, что сертификат аутентификации ActiveMQ не раскрывается
  • Изоляция сетиОграничить доступ к веб-консоли ActiveMQ

Проверьте на атаку.

  • Проверьте журнал брокера ActiveMQ с ненормальным вызовом addConnector/addNetworkConnect
  • Проверьте весенние запросы на загрузку XML из внешних сетей
  • Мониторинг создания процесса аномалии для брокера JVM (Runtime.exec)

Резюме

CVE-2026-34197 является одним изТипичная небезопасная конфигурация, ведущая к RCE:

  • По умолчанию ActiveMQ обнажил мост Jologia JMX-HTTP
  • Политика дефолта позволяет эксплуатировать все Mbeans
  • Нападающий может загрузить удаленный Spring XML с помощью параметра brokerConfig
  • Весна иллюстрирует фасоль перед конфигурацией аутентификации, в результате чего RCE

Если вы используете Apache ActiveMQ, немедленно проверьте версию и обновите ее до 5.19.4 или 6.2.3!

Лазейки высокого риска ремонтируются без задержек.

Официальный бюллетень по безопасности:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt