---

📖 Descripción general

CVE-2026-34197 es una vulnerabilidad de ejecución remota de código autenticada de alta gravedad que afecta a Apache ActiveMQ Classic.

El problema existe en el puente JMX-HTTP de Jolokia expuesto a través de:

/api/jolokia/

Un atacante autenticado puede abusar de métodos MBean peligrosos como:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

Al proporcionar una URI de descubrimiento manipulada, el broker carga un contexto de aplicación Spring remoto, que puede instanciar beans maliciosos antes de que se realice la validación, lo que conduce a la ejecución de código arbitrario en la JVM del broker.

---

⚡ Impacto

Métrica	Valor
Gravedad	Alta
CVSS v3.1	8.8
Vector de ataque	Red
Privilegios	Bajo (Autenticado)
Interacción del usuario	Ninguna
Impacto	Compromiso total de la JVM

🎯 Qué obtiene un atacante

• Ejecución remota de comandos
• Toma de control total del broker
• Recolección de credenciales
• Movimiento lateral dentro de redes internas
• Riesgo de despliegue de ransomware
• Backdoor persistente mediante beans Spring maliciosos

---

🧠 Causa raíz técnica

La vulnerabilidad está causada por:

• Validación de entrada inadecuada
• Flujo de generación de código / instanciación de beans inseguro
• Permisos de ejecución de Jolokia predeterminados peligrosos

🔗 Flujo vulnerable

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

📸 Captura de pantalla

---

📦 Versiones afectadas

❌ Vulnerables

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all en los rangos correspondientes

✅ Corregidas

• 5.19.5
• 6.2.3

---

🛡️ Mitigación

Acciones inmediatas

# Upgrade immediately
5.19.5+
6.2.3+

Lista de verificación de defensa

• Actualizar la versión del broker
• Restringir /api/jolokia/
• Deshabilitar Jolokia si no se utiliza
• Rotar las credenciales de administrador
• Revisar los registros de addConnector
• Restringir la consola a VPN/hosts internos
• Habilitar las reglas del proxy inverso del WAF

---

🔍 Ideas de detección

Busque en los registros patrones sospechosos:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 Consulta de búsqueda SIEM (pseudo)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

---

🚀 Por qué esto es importante

Este fallo es especialmente peligroso porque los brokers de ActiveMQ a menudo:

• están expuestos en redes de administración internas
• son de confianza para múltiples aplicaciones
• se ejecutan con altos privilegios del sistema operativo
• están conectados a colas y credenciales sensibles

Eso lo convierte en un fuerte vector de acceso inicial y movimiento lateral.

---

🏷️ Etiquetas

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection

---