ashrafzaryouh/cve-2026-34197استشارة بشأن CVE-2026-34197، وهو تنفيذ أوامر عن بُعد (RCE) بعد المصادقة في Apache ActiveMQ Jolokia MBeans، مع تحليل السبب الجذري، والإصدارات المتأثرة، وإجراءات التخفيف، واستعلامات كشف SIEM.
تنفيذ تعليمات برمجية عن بُعد (RCE) بعد المصادقة عبر Jolokia MBeans ← Spring XML عن بُعد ← تنفيذ تعليمات برمجية في JVM
CVE-2026-34197 هي ثغرة تنفيذ تعليمات برمجية عن بُعد بعد المصادقة عالية الخطورة تؤثر على Apache ActiveMQ Classic.
تكمن المشكلة في جسر Jolokia JMX-HTTP المكشوف عبر:
/api/jolokia/
يمكن للمهاجم المُصادَق عليه إساءة استخدام طرق MBean الخطرة مثل:
BrokerService.addNetworkConnector(String)BrokerService.addConnector(String)من خلال تزويد URI اكتشاف مُصمَّم خصيصًا، يقوم الوسيط بتحميل سياق تطبيق Spring XML بعيد، والذي يمكنه إنشاء حبوب (beans) خبيثة قبل حدوث التحقق، مما يؤدي إلى تنفيذ تعليمات برمجية عشوائية على JVM الخاص بالوسيط.
| المقياس | القيمة |
|---|---|
| الخطورة | عالية |
| CVSS v3.1 | 8.8 |
| ناقل الهجوم | الشبكة |
| الامتيازات | منخفضة (مُصادَق عليه) |
| تفاعل المستخدم | لا شيء |
| التأثير | اختراق كامل لـ JVM |
تحدث الثغرة بسبب:
graph TD
A[Authenticated User] --> B[/api/jolokia/]
B --> C[exec MBean method]
C --> D[addConnector / addNetworkConnector]
D --> E[Crafted discovery URI]
E --> F[Remote Spring XML Load]
F --> G[Bean Instantiation]
G --> H[Arbitrary JVM Code Execution]
Apache ActiveMQ < 5.19.4Apache ActiveMQ 6.0.0 - 6.2.2activemq-all في النطاقات المطابقة5.19.56.2.3# Upgrade immediately
5.19.5+
6.2.3+
/api/jolokia/addConnectorابحث في السجلات عن الأنماط المشبوهة:
/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec
SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
message LIKE '%addConnector%'
OR message LIKE '%brokerConfig=%'
)
هذا الخلل خطير بشكل خاص لأن وسطاء ActiveMQ غالبًا ما يكونون:
وهذا ما يجعله ناقلًا قويًا للوصول الأولي والحركة الجانبية.
#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection
ابقَ محدّثًا بالتصحيحات. راقب Jolokia. لا تثق بشيء.