CVE-2026-41044
Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ All: Authentifizierter Benutzer kann RCE über die von Jolokia bereitgestellte DestinationView-MBean ausführen
- Veröffentlicht
- 24.04.2026
- Aktualisiert
- 15.07.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 26.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 66,3 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Ungültige Eingabevalidierung, Schwachstelle in der unzureichenden Kontrolle der Codegenerierung ('Code Injection') in Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ All. Ein authentifizierter Angreifer kann die Admin-Webkonsole nutzen, um einen bösartigen Broker-Namen zu konstruieren, der die Namensvalidierung umgeht und ein xbean-Binding enthält, das später von einem VM-Transport verwendet werden kann, um eine entfernte Spring-XML-Anwendung zu laden. Der Angreifer kann dann das DestinationView-mbean verwenden, um eine Nachricht zu senden, die die Erstellung eines VM-Transports auslöst, der auf diesen bösartigen Broker-Namen verweist, was zum Laden der bösartigen Spring-XML-Kontextdatei führen kann. Da die ResourceXmlApplicationContext von Spring alle Singleton-Beans instanziiert, bevor der BrokerService die Konfiguration validiert, kommt es über Bean-Factory-Methoden wie Runtime.exec() zur Ausführung beliebigen Codes auf der JVM des Brokers. Dieses Problem betrifft Apache ActiveMQ: vor 5.19.6, von 6.0.0 vor 6.2.5; Apache ActiveMQ Broker: vor 5.19.6, von 6.0.0 vor 6.2.5; Apache ActiveMQ All: vor 5.19.6, von 6.0.0 vor 6.2.5. Benutzern wird empfohlen, auf Version 6.2.5 oder 5.19.6 zu aktualisieren, die das Problem behebt.
Quellen
# Pädagogischer Leitfaden und Proof-of-Concept für CVE-2026-41044, eine Apache ActiveMQ RCE, mit Root-Cause-Analyse und Erkennungsskript.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.