عندما يخترق المهاجم ActiveMQ، لا يحصل فقط على شل على خادم واحد. بل يجلس في **مركز كل تدفق رسائل** في المؤسسة، قادرًا على قراءة الرسائل أو تعديلها أو إعادة توجيهها أو حقنها بين الأنظمة الحرجة.

---

## الغوص العميق في الثغرة

### البنية: Jolokia وJMX

**JMX** (Java Management Extensions) هي الواجهة القياسية لإدارة تطبيقات جافا. وهي تكشف عن "MBeans" (Managed Beans) التي تسمح بمراقبة والتحكم في دواخل التطبيق. يكشف ActiveMQ عن MBeans لإدارة الوسطاء (brokers) والطوابير (queues) والمواضيع (topics) والاتصالات والمزيد.

**Jolokia** هو جسر JMX عبر HTTP. فهو يترجم عمليات JMX إلى واجهة برمجة تطبيقات JSON بنمط RESTful، مما يجعل من الممكن إدارة تطبيقات جافا عبر طلبات HTTP بدلاً من الحاجة إلى عميل JMX مخصص.

يأتي ActiveMQ Classic مع Jolokia مدمجًا، ويمكن الوصول إليه عبر `/api/jolokia/` على منفذ وحدة التحكم على الويب (الافتراضي: 8161).```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQ يقوم بالضبط بما صُمم للقيام به: تحميل إعدادات الوسيط (broker). المشكلة أن مصدر الإعدادات يتحكم فيه المهاجم، وSpring XML هو عمليًا صيغة لتنفيذ الأكواد.

### فجوة المصادقة

هذا ما يرفع الثغرة من خطيرة إلى حرجة:

| إصدار ActiveMQ | حالة مصادقة Jolokia | التأثير |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | مصادق عليه (الافتراضيات: admin:admin) | تنفيذ أكواد عن بُعد بمصادقة، وغالبًا يتم تجاوزها بسهولة |
| 6.0.0 إلى 6.1.1 | **بدون مصادقة تمامًا** | **تنفيذ أكواد عن بُعد بدون مصادقة** |
| 6.1.2 إلى 6.2.2 | مصادق عليه | تنفيذ أكواد عن بُعد بمصادقة |
| 5.19.4+ / 6.2.3+ | تم التصحيح | غير معرضة للخطر |

على ActiveMQ من 6.0.0 إلى 6.1.1، تتطلب نقطة نهاية Jolokia **صفر مصادقة**. أي شخص يمكنه الوصول إلى المنفذ 8161 يحصل على تنفيذ أكواد عن بُعد بدون مصادقة.

حتى على الإصدارات التي تتطلب فيها Jolokia مصادقة، فإن بيانات الاعتماد الافتراضية `admin:admin` معروفة على نطاق واسع وغالبًا ما تُترك دون تغيير في بيئات التطوير والاختبار والإنتاج.

---

## تحليل التأثير

**التأثير المباشر على مضيف الوسيط (broker):**
- تنفيذ أكواد عن بُعد كامل بصلاحيات عملية ActiveMQ
- الوصول إلى جميع قوائم انتظار الرسائل والمواضيع والرسائل المخزنة
- القدرة على قراءة/تعديل/حقن الرسائل أثناء النقل
- الوصول إلى ملفات الإعدادات ومخازن المفاتيح وبيانات الاعتماد المخزنة

**التأثير اللاحق (عبر التلاعب بالرسائل):**
- حقن رسائل خبيثة في قوائم انتظار المعالجة
- تعديل المعاملات المالية أو الطلبات أو الأوامر أثناء التنفيذ
- اعتراض البيانات الحساسة المتدفقة عبر الوسيط
- تعطيل جميع الخدمات المعتمدة على الرسائل

**تضخيم المخاطر على مستوى المؤسسة:**
- ActiveMQ يقع عند نقطة التقاطع بين كل تطبيق يستخدمه
- وسيط واحد مخترق يمكن أن يؤثر على عشرات الخدمات المتصلة
- وسطاء الرسائل عادةً ما يكونون في مناطق شبكية موثوقة بوصول واسع
- الحركة الجانبية سهلة من موقع الوسيط في الشبكة```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**الخيارات:**

| العلم | الوصف | الافتراضي |
|------|-------------|---------|
| `-t`, `--target` | عنوان URL واحد للهدف (مثال: `http://host:8161`) | — |
| `-f`, `--file` | ملف يحتوي على عناوين URL للأهداف، واحد في كل سطر (التعليقات بـ `#` مدعومة) | — |
| `-u`, `--username` | اسم المستخدم لمصادقة Jolokia | — |
| `-p`, `--password` | كلمة المرور لمصادقة Jolokia | — |
| `-o`, `--output` | حفظ النتائج في ملف JSON | — |
| `--timeout` | مهلة الاتصال بالثواني | `10` |
| `--verify-ssl` | تفعيل التحقق من شهادة SSL | معطّل |
| `-v`, `--verbose` | إخراج مفصّل مع كامل التفاصيل | إيقاف |

**مثال على الإخراج:**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**مثال على مخرجات Nmap:**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

إذا أعادت الخطوة 1 استجابة JSON تحتوي على معلومات وكيل Jolokia، فإن نقطة النهاية غير مصادق عليها. إذا نجحت الخطوة 2 باستخدام بيانات الاعتماد الافتراضية، فستحصل على وصول مصادق عليه. في كلتا الحالتين، إذا كان MBean الخاص بالوسيط (broker) قابلاً للوصول، فإن مسار الاستغلال موجود.

---

## مؤشرات الاختراق

ابحث عن هذه العلامات في بيئتك:

| المؤشر | مكان الفحص | ما الذي تبحث عنه |
|:---|:---|:---|
| وصول Jolokia | سجلات وصول وحدة التحكم | طلب POST إلى `/api/jolokia/` يحتوي على `addNetworkConnector` |
| الجلب الصادر | سجلات الشبكة / جدار الحماية | طلبات HTTP من ActiveMQ إلى مضيفين خارجيين غير متوقعين |
| تحميل Spring XML | سجلات ActiveMQ | إشارات إلى URIs بصيغة `xbean:http://` |
| موصلات الشبكة | إعدادات الوسيط (Broker) | URIs بصيغة `vm://` مع معاملات `brokerConfig` لم تقم بإنشائها |
| العمليات الفرعية | مراقبة العمليات | عمليات غير متوقعة تم إطلاقها بواسطة عملية Java الخاصة بـ ActiveMQ |

**أوامر التحقيق:**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq