CVE-2026-42588

Resumen

Validación de entrada incorrecta, vulnerabilidad de control incorrecto de la generación de código ('Inyección de Código') en Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Apache ActiveMQ Classic expone el puente JMX-HTTP de Jolokia en /api/jolokia/ en la consola web. La política de acceso predeterminada de Jolokia permite operaciones exec en todos los MBeans de ActiveMQ (org.apache.activemq:*), incluyendo BrokerService.addNetworkConnector(String). Un atacante autenticado puede invocar estas operaciones con una URI de descubrimiento manipulada que activa el parámetro brokerConfig del transporte VM utilizando la URL 'masterslave:// ' lo que puede permitir la carga de un contexto de aplicación Spring XML utilizando ResourceXmlApplicationContext. Debido a que ResourceXmlApplicationContext de Spring instancia todos los beans singleton antes de que BrokerService valide la configuración, se produce la ejecución de código arbitrario en la JVM del broker a través de métodos de fábrica de beans como Runtime.exec(). Este problema afecta a Apache ActiveMQ Broker: anterior a 5.19.7, desde 6.0.0 anterior a 6.2.6; Apache ActiveMQ All: anterior a 5.19.7, desde 6.0.0 anterior a 6.2.6; Apache ActiveMQ: anterior a 5.19.7, desde 6.0.0 anterior a 6.2.6. Se recomienda a los usuarios actualizar a la versión 5.19.7 o 6.2.6, lo que soluciona el problema.

• apache-activemq-rce-researchInvestigación

  Investigación de RCE en Apache ActiveMQ Classic: cadena de bypass de CVE-2026-34197 / CVE-2026-42588 + hallazgos de auditoría de hardened-6.2.6 + comparación con Crowdfense

• CVE-2026-42588