Svenska

← Tillbaka till listan

Apache ActiveMQ High Risk RCE Gap: 5-stegs slutförande av attackkedjan

itadol5j

CVE-2026-34197 gapanalys

Apache ActiveMQ spränger högrisk RCE-loophole

Apache ActiveMQ har nyligen avslöjat en.Högrisk fjärrkod genomförande gap(CVE-2026-34197) Angriparen kan genomdriva någon kod genom Jologia JMX-HTTP bron på JVM av Broker.

Effekten av detta kryphål är bred, och alla användare som använder ActiveMQ 5.x och 6.x-versioner kräver omedelbar uppmärksamhet.

Grundläggande information om kryphål

Fastigheter Detaljer
CVE ID CVE-2026-34197
Allvarlig nivå Hög risk (RCE fjärrkod exekvering)
CWE CWE-20 (olämplig input validering), CWE-94 (kodinjektion)
Impact Component Apache ActiveMQ Broker
Förutsättning för attack Kräver certifierade användare

• Påverkad version

  • Apache ActiveMQ 5.xAlla versioner < 5.19.4
  • Apache ActiveMQ 6.xFrån:6.0.0 – 6.2.3(exklusive 6.2.3)

Rehabiliteringsversion

  • Uppgradera till 5.19.4(5.x serie återställningsversion)
  • Uppgradera till 6.2.3(6.x serierehabiliteringsversion)

Hål: Fem steg för att attackera.

Steg 1: Besök Jolokia Bridge

Apache ActiveMQ Classic utsattes för webbkonsolen. Jologia JMX-HTTP BridgeVägen är /api/jolokia/Jag vet inte. Denna bro ger tillgång till JMX-gränssnittet via HTTP.

Steg 2: Ring Mbean exec operation

Standard Jologia Access PolicyTillåt alla ActiveMQ Mbeans(org.apache.activemq:*) utföra exec-operationer. Detta innebär att angriparna kan kalla på en mängd olika ActiveMQ-hanteringsmetoder.

Steg 3: Bygga Malice

Angriparna kan ringa. BrokerService.addNetworkConnector(String) eller BrokerService.addConnector(String) Metoden, i den noggrant konstruerade en.Det är rätt.VM transfer trigger BrokerConfig parameter.

Steg 4: Last Remote Spring XML

BrokerConfig parameter anger lastfjärrkontrollen Spring XML Apply Context,use ResourceXmlApplicationContextJag vet inte.

Steg 5: Alla kodutförande

De viktigaste punkterna är:RessourceXmlApplicationContext har exemplifierats innan konfigurationen BrokerServiceJag vet inte. Angriparen kan använda en metod som: Runtime.exec() På JVM av mäklareUtför någon kodJag vet inte.

Varför är detta kryphål farligt?

  1. Du kan använda den efter autentisering.Med ett ActiveMQ-inloggningsnummer kan du starta en attack.
  2. Full kontroll, mäklareRCE-loophole betyder att angriparen har fullständig kontroll över JVM av ActiveMQ-mäklare
  3. KonsekvenserActiveMQ är ett medium för nyheter på affärsnivå, och många företag använder det.
  4. Attackkedjan är intakt.Ring fjärr Spring XML → RCE från → Mbean, strejkväg klar

Hur?

Uppgradera nu

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Interim mitigation åtgärder

Om detta inte kan göras för tillfället, kan hänsyn ges till:

  • Inaktivera JolokiaInaktivera Jolokia JMX-HTTP bro i ActiveMQ konfiguration
  • Limit Jologia Access PolicyModifiera standardpolicy, inaktivera exec-verksamhet
  • Förbättra certifieringssäkerhetSe till att autentiseringscertifikatet för ActiveMQ inte avslöjas
  • Nätverk isoleringBegränsa åtkomst till ActiveMQ Web-konsolen

Kontrollera för attack.

  • Kontrollera ActiveMQ-mäklarens logg med ett onormalt addConnector/addNetworkConnect-samtal
  • Kontrollera förfrågningar från Spring XML från externa nätverk
  • Övervaka skapandet av en anomali process för mäklare JVM (Runtime.exec)

Sammanfattning

CVE-2026-34197 är ettFall av typisk osäker konfiguration som leder till RCEFrån:

  • ActiveMQ-standard exponerad Jologia JMX-HTTP-bro
  • Standardpolicy tillåter exec-verksamhet för alla Mbeans
  • Angriparen kan ladda fjärrkontrollen Spring XML med brokerConfig parameter
  • Spring exemplifiera böna före autentiseringskonfiguration, vilket resulterar i RCE

Om du använder Apache ActiveMQ, kontrollera versionen omedelbart och uppgradera den till 5.19.4 eller 6.2.3!

Högrisk kryphål repareras utan dröjsmål.

Officiell säkerhetsbulletinFrån:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt