CVE-2026-34197 ActiveMQ Classic Lab

Dieses Repository enthält ein lokales Labor zum Studieren von CVE-2026-34197 in Apache ActiveMQ Classic und zum Vergleichen einer anfälligen Instanz mit einem gepatchten Build.

Das Repository ist so organisiert, dass es zwei Ziele unterstützt:

• Das Problem in einer streng kontrollierten, isolierten Umgebung reproduzieren.
• Das Verhalten der Abhilfe mit einem gepatchten ActiveMQ Classic Build validieren.

Haftungsausschluss

Dieses Repository wird ausschließlich für rechtmäßige, autorisierte, defensive Sicherheitsforschung in isolierten Laborumgebungen bereitgestellt, die Ihnen gehören oder für die Sie ausdrücklich die Erlaubnis zum Testen haben.

Durch die Nutzung jeglichen Materials in diesem Repository stimmen Sie zu, dass:

• Sie es nicht gegen Drittsysteme, öffentliche Ziele, Kundenumgebungen, gemeinsam genutzte Infrastruktur oder Systeme ohne ausdrückliche schriftliche Genehmigung verwenden werden.
• Sie es nicht für unbefugten Zugriff, Persistenz, Störung, laterale Bewegung, Datenzugriff oder Aktivitäten verwenden werden, die gegen Gesetze, Richtlinien, Verträge oder akzeptable Nutzungsbedingungen verstoßen.
• Sie verstehen, dass Proof-of-Concept-Sicherheitsforschung Dienstunterbrechungen, Prozessabstürze, Datenkorruption, Container-Kompromittierung, Shell-Zugriff und unbeabsichtigte Verbreitung verursachen kann, wenn sie unvorsichtig gehandhabt wird.
• Sie sind allein verantwortlich für die Einhaltung aller geltenden Gesetze, Vorschriften, Verträge und internen Richtlinien.
• Sie werden dies nur in wegwerfbaren Laborsystemen mit angemessener Netzwerkisolation, Überwachung und Rollback-Fähigkeit ausführen.

Dieses Repository ist nicht für offensive Operationen gedacht. Es ist ausschließlich für Validierung, Bildung, Erkennungstechnik, Patch-Verifikation und kontrollierte Demonstrationen bestimmt.

Wenn Sie sich nicht sicher sind, ob Sie zur Ausführung dieses Materials berechtigt sind, führen Sie es nicht aus.

Umfang

Dieses Labor konzentriert sich auf das Verhalten von Apache ActiveMQ Classic im Zusammenhang mit CVE-2026-34197:

• Ein anfälliger Container basierend auf apache/activemq-classic:5.19.2
• Ein lokaler gepatchter Container, der aus ActiveMQ Classic 5.19.4 erstellt wurde
• Eine einfache XML-Payload-Datei zur Laborvalidierung
• Notizen zur Überprüfung des erwarteten anfälligen vs. gepatchten Verhaltens

Repository Layout

.
├── activemq-patched
│   ├── docker-compose.yml
│   ├── Dockerfile
│   ├── instructions.txt
│   └── poc.xml
├── docker-compose.yml
├── instructions.txt
└── poc.xml

Anfälliges Labor

Das Stammverzeichnis dieses Repositorys enthält das anfällige Labor:

• docker-compose.yml startet einen ActiveMQ Classic 5.19.2 Container mit der Web-Konsole und Jolokia, die auf localhost verfügbar sind.
• instructions.txt enthält den lokalen Labor-Workflow zur Validierung des anfälligen Verhaltens.
• poc.xml ist die XML-Payload-Vorlage, die im Labor verwendet wird.

Typische exponierte Ports in der anfälligen Compose-Datei:

• 8161 - Web Console / Jolokia
• 61616 - OpenWire
• 61613 - STOMP
• 1883 - MQTT
• 5672 - AMQP

Starten Sie das anfällige Labor:

docker compose up -d

Gepatchtes Labor

Das Verzeichnis activemq-patched/ enthält eine gepatchte Vergleichsumgebung:

• Ein lokaler Docker-Build basierend auf ActiveMQ Classic 5.19.4
• Ein Dockerfile, das das Jetty-Binding aktualisiert, sodass die Web-Konsole vom Host erreichbar ist
• Eine separate Compose-Datei, die den gepatchten Broker auf anderen localhost-Ports veröffentlicht

Typische exponierte Ports in der gepatchten Compose-Datei:

• 8261 - Web Console / Jolokia
• 62616 - OpenWire

Erstellen des gepatchten Images

Laden Sie das archivierte 5.19.4-Release-Tarball herunter:

cd activemq-patched
wget https://archive.apache.org/dist/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz

Erstellen Sie das lokale Image:

docker build \
  -t pssec/activemq-classic:5.19.4 \
  --build-arg ACTIVEMQ_VERSION=5.19.4 \
  -f Dockerfile .

Starten Sie das gepatchte Labor:

docker compose up -d

Validierungsrichtlinien

Verwenden Sie die bereitgestellten instructions.txt-Dateien für den Laborablauf.

Erwartetes übergeordnetes Ergebnis:

• Die anfällige Umgebung sollte den unsicheren Connector-Pfad im Labor-Workflow erlauben.
• Die gepatchte Umgebung sollte das unsichere VM-basierte Schema ablehnen und einen Fehler ähnlich wie VM scheme is not allowed zurückgeben.

Empfohlene zerstörungsfreie Validierung

In einem echten internen Test bevorzugen Sie einen sicheren, beobachtbaren, zerstörungsfreien Befehl anstelle von etwas Invasivem.

Ein einfaches Beispiel ist das Erstellen einer temporären Datei wie:

touch /tmp/pssec_validation_marker

Überprüfen Sie dann das Ergebnis vom Host aus:

docker exec -it cve-2026-34197-activemq ls -l /tmp/pssec_validation_marker

Für die gepatchte Umgebung sollte die entsprechende Validierung fehlschlagen, die Datei zu erstellen, wenn der Fix wie erwartet funktioniert.

Dies ist sicherer als die Verwendung eines interaktiven Payloads und reicht normalerweise aus, um zu beweisen:

• ob der anfällige Pfad noch erreichbar ist, oder
• ob der gepatchte Broker das gefährliche Connector-Verhalten blockiert.

Hinweise

• Binden Sie das Labor nach Möglichkeit an 127.0.0.1.
• Verwenden Sie Wegwerf-Container und isolierte Netzwerke.
• Setzen Sie Container zwischen Testläufen zurück oder bauen Sie sie neu auf.
• Überprüfen Sie Container-Logs und Jolokia-Antworten im Rahmen der Validierung.
• Bevorzugen Sie zerstörungsfreie dateibasierte Prüfungen gegenüber interaktiven Shells bei interner Verifikation.

Business

PSsec: https://pssec.io