CVE-2024-32114
Apache ActiveMQ: Jolokia y la API REST no estaban protegidas con la configuración predeterminada
- Publicado
- 2 may 2024
- Actualizado
- 2 ago 2024
- Asignación de CNA
- apache
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 94,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
En Apache ActiveMQ 6.x, la configuración predeterminada no protege el contexto web de la API (donde se encuentran la API REST de Jolokia JMX y la API REST de mensajes). Significa que cualquiera puede utilizar estas capas sin necesidad de autenticación. Potencialmente, cualquiera puede interactuar con el corredor (usando la API REST de Jolokia JMX) y/o producir/consumir mensajes o purgar/eliminar destinos (usando la API REST de mensajes). Para mitigar, los usuarios pueden actualizar el archivo de configuración predeterminado conf/jetty.xml para agregar el requisito de autenticación: O recomendamos a los usuarios que actualicen a Apache ActiveMQ 6.1.2, donde la configuración predeterminada se actualizó con autenticación de forma predeterminada.
Fuentes
2- ActiveMQ-EXPtoolsExploit
Herramienta de explotación integral de vulnerabilidades de Apache ActiveMQ (CVE-2015-5254, CVE-2016-3088, CVE-2022-41678, CVE-2023-46604, CVE-2024-32114, CVE-2026-34197, CVE-2026-40466, CVE-2026-42588)
- CVE-2026-34197Exploit
Exploit para Apache ActiveMQ RCE a través de la API Jolokia (CVE-2026-34197) con captura de salida de comandos, escaneo masivo y auto-explotación.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.