CVE-2026-34197 - Apache ActiveMQ Jolokia Remote-Codeausführung (RCE)

CVE-2026-34197 ist eine Schwachstelle mit hohem Schweregrad zur Remote-Codeausführung (RCE), die Apache ActiveMQ Classic betrifft. Das Problem besteht in der Jolokia-JMX-HTTP-Bridge, die Verwaltungsvorgänge über HTTP über den Endpunkt /api/jolokia/ bereitstellt.

Die standardmäßige Jolokia-Zugriffsrichtlinie erlaubt authentifizierten Benutzern, Verwaltungsoperationen auf ActiveMQ-MBeans aufzurufen. Bestimmte Broker-Verwaltungsmethoden akzeptieren benutzerkontrollierte Discovery-URIs. Eine speziell gestaltete URI kann dazu führen, dass ActiveMQ einen entfernten Spring-XML-Anwendungskontext lädt, bevor die Broker-Konfigurationsvalidierung erfolgt.

Während der Initialisierung instanziiert Spring Singleton-Beans sofort. Da die Bean-Initialisierung vor der Validierung der bereitgestellten Konfiguration durch ActiveMQ erfolgt, können angreiferkontrollierte Bean-Definitionen beliebigen Java-Code innerhalb der JVM des Brokers ausführen. Dies kann letztendlich zu einer vollständigen Kompromittierung des ActiveMQ-Prozesses mit den Berechtigungen des ausgeführten Dienstes führen.

---

Technische Details

Die Schwachstelle betrifft das Zusammenspiel mehrerer Komponenten:

• Apache ActiveMQ Classic
• Jolokia JMX-HTTP Bridge
• Java Management Extensions (JMX)
• BrokerService-Verwaltungsoperationen
• ResourceXmlApplicationContext des Spring-Frameworks

Normalerweise sind die über Jolokia bereitgestellten administrativen Operationen für die Broker-Verwaltung gedacht. Bestimmte Broker-Methoden akzeptieren jedoch externe Konfigurationsreferenzen.