Wenn ein Angreifer ActiveMQ kompromittiert, erhält er nicht nur eine Shell auf einem einzelnen Server. Er sitzt im **Zentrum jedes Nachrichtenflusses** in der Organisation und kann Nachrichten zwischen kritischen Systemen lesen, ändern, umleiten oder einschleusen.

---

## Detaillierte Analyse der Schwachstelle

### Die Architektur: Jolokia und JMX

**JMX** (Java Management Extensions) ist die Standard-Verwaltungsschnittstelle für Java-Anwendungen. Sie stellt „MBeans“ (Managed Beans) bereit, die die Überwachung und Steuerung der Anwendungsinterna ermöglichen. ActiveMQ stellt MBeans für die Verwaltung von Brokern, Warteschlangen, Topics, Verbindungen und mehr bereit.

**Jolokia** ist eine JMX-über-HTTP-Brücke. Sie übersetzt JMX-Operationen in eine RESTful-JSON-API und ermöglicht so die Verwaltung von Java-Anwendungen über HTTP-Anfragen, ohne dass ein dedizierter JMX-Client erforderlich ist.

ActiveMQ Classic wird mit integriertem Jolokia ausgeliefert, das unter `/api/jolokia/` auf dem Web-Konsolen-Port (Standard: 8161) erreichbar ist.```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQ tut genau das, wofür es entwickelt wurde: Es lädt eine Broker-Konfiguration. Das Problem ist, dass die Konfigurationsquelle vom Angreifer kontrolliert wird und Spring-XML praktisch ein Format zur Codeausführung ist.

### Die Authentifizierungslücke

Das ist es, was die Schwachstelle von ernst zu kritisch aufwertet:

| ActiveMQ-Version | Jolokia-Auth-Status | Auswirkung |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | Authentifiziert (Standard: admin:admin) | Auth'd RCE, oft trivial umgangen |
| 6.0.0 bis 6.1.1 | **Vollständig ohne Authentifizierung** | **RCE ohne Authentifizierung** |
| 6.1.2 bis 6.2.2 | Authentifiziert | Auth'd RCE |
| 5.19.4+ / 6.2.3+ | Gepatcht | Nicht verwundbar |

Auf ActiveMQ 6.0.0 bis 6.1.1 erfordert der Jolokia-Endpunkt **null Authentifizierung**. Jeder, der Port 8161 erreichen kann, erhält Remote-Codeausführung ohne Authentifizierung.

Selbst auf Versionen, auf denen Jolokia eine Authentifizierung erfordert, sind die Standard-Anmeldedaten `admin:admin` weithin bekannt und werden in Entwicklungs-, Staging- und Produktionsumgebungen häufig unverändert gelassen.

---

## Auswirkungsanalyse

**Unmittelbare Auswirkung auf den Broker-Host:**
- Vollständige Remote-Codeausführung mit den Rechten des ActiveMQ-Prozesses
- Zugriff auf alle Message Queues, Topics und gespeicherten Nachrichten
- Möglichkeit, Nachrichten während der Übertragung zu lesen, zu ändern oder einzuschleusen
- Zugriff auf Konfigurationsdateien, Keystores und gespeicherte Anmeldedaten

**Nachgelagerte Auswirkung (über Nachrichtenmanipulation):**
- Einschleusung bösartiger Nachrichten in Verarbeitungs-Warteschlangen
- Änderung von Finanztransaktionen, Aufträgen oder Befehlen während der Übertragung
- Abfangen sensibler Daten, die durch den Broker fließen
- Störung aller nachrichtenabhängigen Dienste

**Verstärkung des Unternehmensrisikos:**
- ActiveMQ sitzt an der Schnittstelle jeder Anwendung, die es nutzt
- Ein einziger kompromittierter Broker kann Dutzende verbundener Dienste beeinträchtigen
- Message Broker sind typischerweise in vertrauenswürdigen Netzwerkzonen mit breitem Zugriff positioniert
- Laterale Bewegung ist von der Netzwerkposition des Brokers aus unkompliziert```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**Optionen:**

| Flag | Beschreibung | Standard |
|------|-------------|---------|
| `-t`, `--target` | Einzelne Ziel-URL (z. B. `http://host:8161`) | — |
| `-f`, `--file` | Datei mit Ziel-URLs, eine pro Zeile (`#`-Kommentare werden unterstützt) | — |
| `-u`, `--username` | Benutzername für die Jolokia-Authentifizierung | — |
| `-p`, `--password` | Passwort für die Jolokia-Authentifizierung | — |
| `-o`, `--output` | Ergebnisse in JSON-Datei speichern | — |
| `--timeout` | Verbindungs-Timeout in Sekunden | `10` |
| `--verify-ssl` | SSL-Zertifikatsprüfung aktivieren | Deaktiviert |
| `-v`, `--verbose` | Ausführliche Ausgabe mit vollständigen Details | Aus |

**Beispielausgabe:**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**Beispiel für die Nmap-Ausgabe:**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Wenn Schritt 1 eine JSON-Antwort mit Jolokia-Agent-Informationen zurückgibt, ist der Endpunkt nicht authentifiziert. Wenn Schritt 2 mit Standard-Anmeldedaten funktioniert, hast du authentifizierten Zugriff. In beiden Fällen existiert der Exploit-Pfad, wenn der Broker-MBean zugänglich ist.

---

## Indicators of Compromise

Achte in deiner Umgebung auf diese Anzeichen:

| Indikator | Wo prüfen | Worauf achten |
|:---|:---|:---|
| Jolokia-Zugriff | Zugriffsprotokolle der Web-Konsole | POST an `/api/jolokia/` mit `addNetworkConnector` |
| Ausgehender Abruf | Netzwerkprotokolle / Firewall | HTTP-Anfragen von ActiveMQ an unerwartete externe Hosts |
| Spring-XML-Laden | ActiveMQ-Protokolle | Verweise auf `xbean:http://`-URIs |
| Network Connectors | Broker-Konfiguration | `vm://`-URIs mit `brokerConfig`-Parametern, die du nicht erstellt hast |
| Kindprozesse | Prozessüberwachung | Unerwartete Prozesse, die vom ActiveMQ-Java-Prozess gestartet wurden |

**Untersuchungsbefehle:**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq