📖 نظرة عامة

CVE-2026-34197 هي ثغرة تنفيذ برمجيات عن بُعد بعد المصادقة ذات خطورة عالية تؤثر على Apache ActiveMQ Classic.

تكمن المشكلة في جسر Jolokia JMX-HTTP المكشوف عبر:

/api/jolokia/

يمكن للمهاجم المُصادَق استغلال طرق MBean الخطيرة مثل:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

من خلال توفير URI اكتشاف مصمم بعناية، يقوم الوسيط بتحميل سياق تطبيق Spring XML عن بُعد، والذي يمكنه إنشاء حبوب خبيثة قبل حدوث التحقق، مما يؤدي إلى تنفيذ تعسفي للكود على JVM الخاص بالوسيط.

⚡ التأثير

🎯 ما الذي يكسبه المهاجم

• تنفيذ أوامر عن بُعد
• السيطرة الكاملة على الوسيط
• جمع بيانات الاعتماد
• الحركة الجانبية داخل الشبكات الداخلية
• خطر نشر برمجيات الفدية
• باب خلفي دائم عبر حبوب Spring الخبيثة

🧠 السبب الجذري التقني

سبب الثغرة هو:

• عدم التحقق السليم من المدخلات
• توليد كود غير آمن / تدفق إنشاء الحبوب
• صلاحيات تنفيذ Jolokia الافتراضية الخطيرة

🔗 التدفق القابل للاستغلال

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

📸 لقطة الشاشة

📦 الإصدارات المتأثرة

❌ الإصدارات الضعيفة

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all في النطاقات المطابقة

✅ الإصدارات المُصحَّحة

• 5.19.5
• 6.2.3

🛡️ التخفيف

إجراءات فورية

# Upgrade immediately
5.19.5+
6.2.3+

قائمة التحقق الدفاعية

• ترقية إصدار الوسيط
• تقييد الوصول إلى /api/jolokia/
• تعطيل Jolokia إذا لم يكن قيد الاستخدام
• تدوير بيانات اعتماد المسؤول
• مراجعة سجلات addConnector
• تقييد لوحة التحكم على VPN/المضيفات الداخلية
• تفعيل قواعد الوكيل العكسي لجدار حماية التطبيقات WAF

🔍 أفكار الكشف

ابحث في السجلات عن أنماط مشبوهة:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 استعلام SIEM (شبه كود)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 لماذا هذا مهم؟

هذه الثغرة خطيرة بشكل خاص لأن وسيطات ActiveMQ غالبًا ما تكون:

• معرّضة على الشبكات الإدارية الداخلية
• موثوقة من قبل تطبيقات متعددة
• تعمل بصلاحيات عالية على نظام التشغيل
• متصلة بطوابير وبيانات اعتماد حساسة

يجعل هذا منها مسار وصول أولي وحركة جانبية قويًا.

🏷️ الوسوم

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection