مختبر CVE-2026-34197 ActiveMQ Classic

يحتوي هذا المستودع على مختبر محلي لدراسة CVE-2026-34197 في Apache ActiveMQ Classic ولمقارنة مثيل ضعيف مقابل بناء مُصحَّح.

تم تنظيم المستودع لدعم هدفين:

• إعادة إنتاج المشكلة في بيئة معزولة ومحكمة التحكم.
• التحقق من سلوك الإصلاح باستخدام بناء مُصحَّح من ActiveMQ Classic.

إخلاء مسؤولية

هذا المستودع مُقدَّم بشكل صارم للبحث الأمني الدفاعي القانوني المصرح به في بيئات معملية معزولة تمتلكها أو لديك إذن صريح لاختبارها.

باستخدام أي مادة في هذا المستودع، فإنك توافق على أنك:

• لن تستخدمها ضد أنظمة طرف ثالث، أو أهداف عامة، أو بيئات العملاء، أو بنية تحتية مشتركة، أو أي نظام دون إذن كتابي صريح.
• لن تستخدمها للوصول غير المصرح به، أو الثبات، أو التعطيل، أو الحركة الجانبية، أو الوصول إلى البيانات، أو أي نشاط ينتهك القانون أو السياسة أو العقد أو متطلبات الاستخدام المقبول.
• تدرك أن أبحاث الأمن القائمة على إثبات المفهوم يمكن أن تسبب انقطاع الخدمة، وتعطل العمليات، وتلف البيانات، واختراق الحاويات، والوصول إلى الصدفة، والانتشار غير المقصود إذا تم التعامل معها بإهمال.
• أنت وحدك المسؤول عن الامتثال لجميع القوانين واللوائح والعقود والسياسات الداخلية المعمول بها.
• ستقوم بتشغيل هذا فقط في أنظمة مختبرية قابلة للتخلص مع عزل شبكة مناسب، ومراقبة، وقدرة على التراجع.

هذا المستودع ليس مخصصًا للعمليات الهجومية. إنه مخصص فقط للتحقق، والتعليم، وهندسة الاكتشاف، والتحقق من التصحيحات، والعروض التوضيحية المسيطر عليها.

إذا كنت غير متأكد مما إذا كان لديك الإذن لتشغيل هذه المواد، لا تقم بتشغيلها.

النطاق

يركز هذا المختبر على سلوك Apache ActiveMQ Classic حول CVE-2026-34197:

• حاوية ضعيفة مبنية على apache/activemq-classic:5.19.2
• حاوية مصححة مبنية محليًا من ActiveMQ Classic 5.19.4
• ملف حمولة XML بسيط يُستخدم للتحقق في المختبر
• ملاحظات للتحقق من السلوك المتوقع للنسخة الضعيفة مقابل المصححة

هيكل المستودع

.
├── activemq-patched
│   ├── docker-compose.yml
│   ├── Dockerfile
│   ├── instructions.txt
│   └── poc.xml
├── docker-compose.yml
├── instructions.txt
└── poc.xml

المختبر الضعيف

يحتوي جذر هذا المستودع على المختبر الضعيف:

• docker-compose.yml يبدأ حاوية ActiveMQ Classic 5.19.2 مع وحدة تحكم الويب و Jolokia معروضين على المضيف المحلي.
• instructions.txt يحتوي على سير عمل المختبر المحلي المستخدم للتحقق من السلوك الضعيف.
• poc.xml هو قالب حمولة XML المستخدم في المختبر.

المنافذ النموذجية المكشوفة في ملف docker-compose.yml للمختبر الضعيف:

• 8161 - وحدة تحكم الويب / Jolokia
• 61616 - OpenWire
• 61613 - STOMP
• 1883 - MQTT
• 5672 - AMQP

قم بتشغيل المختبر الضعيف:

docker compose up -d

المختبر المُصحَّح

يحتوي الدليل activemq-patched/ على بيئة مقارنة مصححة:

• بناء Docker محلي يعتمد على ActiveMQ Classic 5.19.4
• ملف Dockerfile يحدث ربط Jetty بحيث يمكن الوصول إلى وحدة تحكم الويب من المضيف
• ملف compose منفصل ينشر الوسيط المُصحَّح على منافذ مضيف محلي مختلفة

المنافذ النموذجية المكشوفة في ملف compose المُصحَّح:

• 8261 - وحدة تحكم الويب / Jolokia
• 62616 - OpenWire

بناء الصورة المُصحَّحة

قم بتنزيل ملف الإصدار 5.19.4 المؤرشف:

cd activemq-patched
wget https://archive.apache.org/dist/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz

بناء الصورة المحلية:

docker build \
  -t pssec/activemq-classic:5.19.4 \
  --build-arg ACTIVEMQ_VERSION=5.19.4 \
  -f Dockerfile .

تشغيل المختبر المُصحَّح:

docker compose up -d

إرشادات التحقق

استخدم ملفات instructions.txt المُقدَّمة لسير عمل المختبر.

النتيجة المتوقعة على المستوى العالي:

• يجب أن تسمح البيئة الضعيفة بمسار الموصل غير الآمن في سير عمل المختبر.
• يجب أن ترفض البيئة المُصحَّحة المخطط غير الآمن القائم على VM وتعيد خطأ مشابهًا لـ VM scheme is not allowed.

التحقق غير التدميري الموصى به

في اختبار داخلي حقيقي، يُفضَّل استخدام أمر آمن وقابل للملاحظة وغير تدميري بدلاً من أي شيء تدخلي.

مثال بسيط هو إنشاء ملف مؤقت مثل:

touch /tmp/pssec_validation_marker

ثم التحقق من النتيجة من المضيف:

docker exec -it cve-2026-34197-activemq ls -l /tmp/pssec_validation_marker

بالنسبة للبيئة المُصحَّحة، يجب أن يفشل التحقق المكافئ في إنشاء الملف عندما يعمل الإصلاح كما هو متوقع.

هذا أكثر أمانًا من استخدام حمولة تفاعلية وعادة ما يكون كافيًا لإثبات:

• ما إذا كان المسار الضعيف لا يزال قابلًا للوصول، أم
• ما إذا كان الوسيط المُصحَّح يمنع سلوك الموصل الخطير.

ملاحظات

• حافظ على ربط المختبر بـ 127.0.0.1 حيثما كان ذلك عمليًا.
• استخدم حاويات قابلة للتخلص وشبكات معزولة.
• إعادة تعيين أو إعادة بناء الحاويات بين جلسات الاختبار.
• راجع سجلات الحاويات واستجابات Jolokia كجزء من التحقق.
• يُفضَّل استخدام الفحوصات غير التدميرية القائمة على الملفات بدلاً من الأصداف التفاعلية أثناء التحقق الداخلي.

الأعمال

PSsec: https://pssec.io