CVE-2026-34197
Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authentifizierte Benutzer konnten über Jolokia MBeans RCE durchführen
- Veröffentlicht
- 07.04.2026
- Aktualisiert
- 17.08.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 16.04.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HMittel · nächste 30 Tage
- Perzentil
- 96,8 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Unsachgemäße Eingabevalidierung, unsachgemäße Kontrolle der Codegenerierung ('Code Injection')-Schwachstelle in Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic stellt die Jolokia-JMX-HTTP-Brücke unter /api/jolokia/ in der Web-Konsole bereit. Die standardmäßige Jolokia-Zugriffsrichtlinie erlaubt exec-Operationen auf allen ActiveMQ-MBeans (org.apache.activemq:*), einschließlich BrokerService.addNetworkConnector(String) und BrokerService.addConnector(String). Ein authentifizierter Angreifer kann diese Operationen mit einer manipulierten Discovery-URI aufrufen, die den brokerConfig-Parameter des VM-Transports veranlasst, einen entfernten Spring-XML-Anwendungskontext mithilfe von ResourceXmlApplicationContext zu laden. Da ResourceXmlApplicationContext von Spring alle Singleton-Beans instanziiert, bevor der BrokerService die Konfiguration validiert, kommt es über Bean-Factory-Methoden wie Runtime.exec() zur Ausführung beliebigen Codes auf der JVM des Brokers. Dieses Problem betrifft Apache ActiveMQ Broker: vor 5.19.4, von 6.0.0 vor 6.2.3; Apache ActiveMQ All: vor 5.19.4, von 6.0.0 vor 6.2.3; Apache ActiveMQ: vor 5.19.4, von 6.0.0 vor 6.2.3. Benutzern wird empfohlen, auf Version 5.19.4 oder 6.2.3 zu aktualisieren, die das Problem behebt.
Quellen
activemq/CVE-2026-34197
Apache ActiveMQ Jolokia Remote Code Execution (CVE-2026-34197)
Vulhub vulnerability labsAngegebene Bedingungen
- lab image version: vulhub/activemq:6.2.2(activemq/CVE-2026-34197/docker-compose.yml:services.activemq.image)
modules/exploits/multi/http/apache_activemq_jolokia_rce.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Linux,Unix,Windows($.exploit_multi/http/apache_activemq_jolokia_rce.platform)
- verification: check_declared($.exploit_multi/http/apache_activemq_jolokia_rce.check)
http/cves/2026/CVE-2026-34197.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.