---

📖 Überblick

CVE-2026-34197 ist eine hochgradige, authentifizierte Remote-Code-Execution-Schwachstelle, die Apache ActiveMQ Classic betrifft.

Das Problem besteht in der Jolokia JMX-HTTP-Bridge, die über Folgendes exponiert wird:

/api/jolokia/

Ein authentifizierter Angreifer kann gefährliche MBean-Methoden wie die folgenden missbrauchen:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

Durch die Bereitstellung einer manipulierten Discovery-URI lädt der Broker einen entfernten Spring-XML-Anwendungskontext, der bösartige Beans vor der Validierung instanziieren kann, was zur Ausführung beliebigen Codes auf der Broker-JVM führt.

---

⚡ Auswirkung

Metrik	Wert
Schweregrad	Hoch
CVSS v3.1	8.8
Angriffsvektor	Netzwerk
Berechtigungen	Niedrig (Authentifiziert)
Benutzerinteraktion	Keine
Auswirkung	Vollständige JVM-Kompromittierung

🎯 Was ein Angreifer erlangt

• Ausführung entfernter Befehle
• Vollständige Übernahme des Brokers
• Erbeutung von Anmeldedaten
• Laterale Bewegung innerhalb interner Netzwerke
• Risiko der Bereitstellung von Ransomware
• Persistente Backdoor über bösartige Spring-Beans

---

🧠 Technische Ursache

Die Schwachstelle wird verursacht durch:

• Unzureichende Eingabevalidierung
• Unsichere Codegenerierung / Bean-Instanziierungsablauf
• Gefährliche Standard-Jolokia-exec-Berechtigungen

🔗 Anfälliger Ablauf

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

---

📸 Screenshot

---

📦 Betroffene Versionen

❌ Anfällig

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all in entsprechenden Bereichen

✅ Behoben

• 5.19.5
• 6.2.3

---

🛡️ Gegenmaßnahmen

Sofortige Maßnahmen

# Upgrade immediately
5.19.5+
6.2.3+

Verteidigungs-Checkliste

• Broker-Version aktualisieren
• /api/jolokia/ einschränken
• Jolokia deaktivieren, falls nicht verwendet
• Admin-Anmeldedaten rotieren
• addConnector-Logs überprüfen
• Konsole auf VPN/interne Hosts beschränken
• WAF-Reverse-Proxy-Regeln aktivieren

---

🔍 Erkennungsideen

Durchsuchen Sie Logs nach verdächtigen Mustern:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 SIEM-Hunt-Abfrage (Pseudo)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 Warum das wichtig ist

Dieser Fehler ist besonders gefährlich, weil ActiveMQ-Broker oft:

• in internen Admin-Netzwerken exponiert sind
• von mehreren Apps als vertrauenswürdig eingestuft werden
• mit hohen Betriebssystemrechten laufen
• mit sensiblen Queues und Zugangsdaten verbunden sind

Das macht ihn zu einem starken Vektor für initialen Zugriff und laterale Bewegung.

---

🏷️ Tags

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection

---