أداة فحص أمان CVE-2026-34197 ActiveMQ Classic

هذه أداة لفحص سطح التعرض لـ Apache ActiveMQ Classic، مخصصة للدفاع والفحص الداخلي، للمساعدة في تقييم المخاطر المرتبطة بـ CVE-2026-34197.

لا يحتوي هذا المشروع على كود استغلال الثغرات، ولا ينفذ Jolokia exec، ولا ينشئ موصلات، ولا يحمّل XML عن بُعد، ولا يعدّل حالة Broker. الأداة تقوم فقط بفحص HTTP للقراءة فقط وفحص تكوين محلي اختياري، وهي مناسبة للتدقيق الأمني في البيئات الداخلية المصرح بها.

فكرة الفحص

الأداة لا تعتمد فقط على رقم الإصدار، بل تجمع بين عدة أدلة:

• ما إذا كان إصدار ActiveMQ Classic ضمن النطاق المتأثر.
• ما إذا كان /api/jolokia/version متاحًا للوصول.
• ما إذا كان Jolokia يتطلب المصادقة.
• ما إذا كان يمكن قراءة بيانات MBean الوصفية لـ ActiveMQ عبر Jolokia.
• ما إذا كانت البيانات الوصفية تكشف عن عمليات قد تغير حالة التشغيل.
• ما إذا كان التكوين المحلي يحتوي على مؤشرات خطر مثل سياسات وصول Jolokia متساهلة جدًا، أو إيقاف المصادقة، أو الربط الواسع.

هذه الفحوصات هي للقراءة فقط، وهدفها المساعدة في تقييم سطح التعرض وتحديد أولويات التحصين.

طريقة الاستخدام

فحص الإصدار:

python3 activemq_cve_2026_34197_checker.py --version 5.18.3

فحص سطح التعرض لـ Jolokia:

python3 activemq_cve_2026_34197_checker.py --url http://127.0.0.1:8161

فحص مع المصادقة:

python3 activemq_cve_2026_34197_checker.py \
  --url http://127.0.0.1:8161 \
  --username admin \
  --password admin

فحص دليل التكوين المحلي:

python3 activemq_cve_2026_34197_checker.py --config-path /opt/activemq/conf

فحص مشترك:

python3 activemq_cve_2026_34197_checker.py \
  --version 5.18.3 \
  --url http://127.0.0.1:8161 \
  --config-path /opt/activemq/conf

شرح المخرجات

تخرج الأداة JSON، والحقول الرئيسية تشمل:

• version: إدخال الإصدار وتقييم مخاطر الإصدار.
• jolokia: نتائج فحص Jolokia للقراءة فقط.
• config_path: مسار فحص التكوين المحلي.
• findings: نقاط الخطر المكتشفة ومستواها وسببها والأدلة.
• remediation: اقتراحات الإصلاح والتحصين.

إشارات الخطر الشائعة تشمل:

• واجهة Jolokia يمكن الوصول إليها بدون ترخيص.
• البيانات الوصفية لـ MBean الخاصة بـ ActiveMQ يمكن تعدادها.
• ظهور عمليات Broker التي تعدّل حالة التشغيل في بيانات Jolokia الوصفية.
• سياسة jolokia-access.xml متساهلة جدًا.
• إيقاف المصادقة مفترض في التكوين.
• خدمات Jolokia مربوطة بعناوين واسعة النطاق.

اقتراحات الإصلاح

يُوصى بترقية Apache ActiveMQ Classic إلى الإصدارات المُصحّحة أولاً:

• 5.19.4 أو أحدث.
• 6.2.3 أو أحدث.

بالإضافة إلى ذلك يُوصى بـ:

• تقييد الوصول إلى /api/jolokia/ ووحدة التحكم الويب (Web Console) بحيث لا يكون متاحًا إلا من شبكات الإدارة الموثوقة.
• فحص jolokia-access.xml ومنع العمليات الواسعة exec وعمليات MBean الحساسة.
• تجنب استخدام اسم المستخدم وكلمة المرور الافتراضيين.
• في حال الاشتباه في الاستغلال، قم بتغيير بيانات اعتماد Broker ذات الصلة ومراجعة سجلات الوصول.
• إضافة ضوابط وصول لواجهات الإدارة في الوكيل الحدودي (boundary proxy) أو جدار الحماية لتطبيقات الويب (WAF).

الحدود الأمنية

هذه الأداة ليست كود استغلال (exp) ولا مشغل ثغرة. هي لا تقوم بـ:

• استدعاء Jolokia exec.
• إنشاء أو تحديث أو حذف موصل (connector).
• جعل ActiveMQ يحمّل تكوين عن بُعد.
• كتابة تكوين Broker.
• تنفيذ أوامر النظام.

هي مناسبة كأداة مساعدة للتدقيق الأمني الداخلي، وفحص أسطح التعرض للأصول، والتحقق من التحصين.

الروابط المرجعية

• إعلان أمان Apache ActiveMQ: https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-34197