Türkçe

← Listeye dön

Apache ActiveMQ Yüksek Risk RCE Gap: Saldırı zincirinin 5 adım tamamlanması

itadol5j

CVE-2026-34197 boşluk analizi

Apache ActiveMQ yüksek riskli RCE döngü delik

Apache ActiveMQ son zamanlarda bir tane ortaya çıkardı.Yüksek riskli uzaktan kod uygulama boşlukları(CVE-2026-34197) Assailant, Jologia JMX-HTTP Köprüsü aracılığıyla herhangi bir kodu uygulanabilir.

Bu döngü deliğinin etkisi geniştir ve ActiveMQ 5x ve 6.x versiyonlarını kullanan tüm kullanıcılar acil dikkat gerektirir.

döngü delikleri hakkında temel bilgiler

Özellikler Özellikler Detaylar
CVE ID CVE-2026-34197
Ciddi seviye seviye Yüksek risk (RCE uzaktan kod yürütme)
CWE CWE-20 (inappropriate girdi doğrulama), CWE-94 (code enjeksiyon)
Etkisi Apache ActiveMQ Broker Broker
Saldırının Önlenmesi sertifikalı kullanıcılar

• Etkilenen sürüm

  • Apache ActiveMQ 5.x: Tüm versiyonları < 5.19.4
  • Apache ActiveMQ 6.x:6.0.0 - 6.2.3( 6.2.3 hariç)

Rehabilitasyon versiyonu

  • 5.19.4'e Yükseltin(5.x serisi kurtarma versiyonu)
  • 6.2.3(6.x serisi rehabilitasyon versiyonu)

Hole: Saldırıya beş adım.

Adım 1: Jolokia Köprüsü Ziyaret

Apache ActiveMQ Classic Web konsoluna maruz kaldı. Jologia JMX-HTTP KöprüsüYol, /api/jolokia/Bilmiyorum. Bu köprü, JMX arayüzüne HTTP aracılığıyla erişim sağlar.

Adım 2: Call Mbean exec operation

Temsil Jologia Access PolicyTüm ActiveMQ Mbeans izin(org.apache.activemq:*) exec işlemleri gerçekleştirmektedir. Bu, saldırganların çeşitli ActiveMQ yönetim yöntemlerini çağırabilecekleri anlamına gelir.

Adım 3: Kötülüğü inşa etmek

Saldırganlar çağırabilir. BrokerService.addNetworkConnector(String) veya BrokerService.addConnector(String) Yöntem, dikkatlice inşa edilene kadar.Bu doğru.VM transfer tetikleyicisi BrokerConfig parametre.

Adım 4: Yük Uzak Bahar XML

BrokerConfig parametresi, uzaktan yüklemeyi belirtir Spring XML Context, ResourceXmlApplicationContextBilmiyorum.

Adım 5: Herhangi bir kod yürütme

Anahtar noktaları şunlardır:RessourceX mlAppContext, BrokerHizmet yapılandırma yapılandırmadan önce genişletildi.Bilmiyorum. Saldırgan gibi bir yöntem kullanabilir: Runtime.exec() JVM'de brokerHeExecute any codeBilmiyorum.

Bu döngü neden tehlikeli?

  1. Bunu doğrulamadan sonra kullanabilirsiniz.: Aktif birMQ giriş numarası ile, bir saldırı başlatabilirsiniz.
  2. Tam kontrol, broker:RCE döngü de, assailant'ın ActiveMQ brokerinin JVM'nin tam kontrolünün tam kontrolünün olduğu anlamına gelir.
  3. ImplicationsActiveMQ iş seviyesindeki haberler için bir orta ve birçok şirket bunu kullanıyor.
  4. Saldırı zinciri sağlam.: Uzak Bahar XML → RCE → Mbean, grev yolu açık

Nasıl?

Yükselt Now

# 升级到修复版本
# 5.x 系列
wget https://activemq.apache.org/activemq-5.19.4

# 6.x 系列
wget https://activemq.apache.org/activemq-6.2.3

Müdahale önlemleri

Eğer bu zaman için yapılamazsa, dikkate verilebilir:

  • Başarısız Jolokia: AktifMQ konfigürasyonunda Engelli Jolokia JMX-HTTP köprü
  • Limit Jologia access policyVarsayılan politikayı Değiştirin, exec işlemleri devre dışı bırak
  • Sertifika güvenliği: ActiveMQ için kimlik doğrulama belgesinin açıklanmadığından emin olun
  • Ağ izolasyonu: ActiveMQ Web konsoluna sınırsız erişim

Saldırı için kontrol edin.

  • ActiveMQ brokeri anormal bir eklenti ile giriş yapınConnector/addNetworkConnect call
  • Spring XML yükleme istekleri dış ağlardan kontrol edin
  • broker JVM (Runtime.exec) için bir anomali sürecinin oluşturulmasını izleyin

Özet Özet Özet Özet

CVE-2026-34197 biriRCE'ye giden tipik güvenli yapılandırma durumu:

  • ActiveMQ varsayılan Jologia JMX-HTTP köprüyü açığa çıkardı
  • Varsayılan politika tüm Mbeans operasyonlarına izin verir
  • Assailant, brokerConfig parametresini kullanarak uzaktan Spring XML yükleyebilir
  • Bahar, kimlik doğrulama yapılandırmadan önce arınıyor, RCE'de ortaya çıkıyor

Apache ActiveMQ kullanıyorsanız, sürümü hemen kontrol edin ve 5.19.4 veya 6.2.3'a yükseltin!

Yüksek riskli boşluklar gecikmeden tamir edilir.

Resmi Güvenlik Bülteni:https://activmq.apache.org/security-advisors.data/CVE-2026-34197-environment.txt