Herramienta de detección de seguridad para ActiveMQ Classic CVE-2026-34197

Esta es una herramienta de detección de superficie de exposición para Apache ActiveMQ Classic, orientada a la defensa y a la investigación en redes internas, que se utiliza para ayudar a evaluar los riesgos relacionados con CVE-2026-34197.

Este proyecto no contiene código de explotación de vulnerabilidades, no ejecuta Jolokia exec, no crea connectors, no carga XML remoto ni modifica el estado del Broker. La herramienta solo realiza sondeos HTTP de solo lectura y comprobaciones opcionales de configuración local; es adecuada para inspecciones de seguridad en entornos internos autorizados.

Enfoque de detección

La herramienta no se basa únicamente en el número de versión, sino que combina múltiples tipos de evidencia:

• ¿Está la versión de ActiveMQ Classic dentro del rango afectado?
• ¿Es accesible /api/jolokia/version?
• ¿Requiere autenticación Jolokia?
• ¿Se pueden leer los metadatos de los MBeans de ActiveMQ a través de Jolokia?
• ¿Los metadatos exponen nombres de operaciones que podrían cambiar el estado de ejecución?
• ¿Existen en la configuración local indicios de riesgo como políticas de acceso a Jolokia demasiado permisivas, autenticación deshabilitada o bindings demasiado amplios?

Estas comprobaciones son de solo lectura y su objetivo es ayudar a determinar la superficie de exposición y las prioridades de endurecimiento.

Uso

Comprobar versión:

python3 activemq_cve_2026_34197_checker.py --version 5.18.3

Comprobar la superficie de exposición de Jolokia:

python3 activemq_cve_2026_34197_checker.py --url http://127.0.0.1:8161

Comprobación con autenticación:

python3 activemq_cve_2026_34197_checker.py \
  --url http://127.0.0.1:8161 \
  --username admin \
  --password admin

Escanear el directorio de configuración local:

python3 activemq_cve_2026_34197_checker.py --config-path /opt/activemq/conf

Comprobación combinada:

python3 activemq_cve_2026_34197_checker.py \
  --version 5.18.3 \
  --url http://127.0.0.1:8161 \
  --config-path /opt/activemq/conf

Descripción de la salida

La herramienta genera JSON; los campos clave incluyen:

• version: entrada de versión y evaluación del riesgo de la versión;
• jolokia: resultados del sondeo de solo lectura de Jolokia;
• config_path: ruta de escaneo de configuración local;
• findings: riesgos detectados, nivel, motivo y evidencia;
• remediation: recomendaciones de corrección y endurecimiento.

Las señales de riesgo comunes incluyen:

• La interfaz Jolokia puede ser accedida sin autorización;
• Los metadatos de los MBeans de ActiveMQ pueden ser enumerados;
• En los metadatos de Jolokia se ven operaciones del Broker que modifican el estado de ejecución;
• La política de jolokia-access.xml es demasiado permisiva;
• Se sospecha que la autenticación está deshabilitada en la configuración;
• Los servicios relacionados con Jolokia están vinculados a direcciones demasiado amplias.

Recomendaciones de corrección

Se recomienda priorizar la actualización de Apache ActiveMQ Classic a las versiones corregidas:

• 5.19.4 o versiones posteriores;
• 6.2.3 o versiones posteriores.

También se recomienda:

• Restringir el acceso a /api/jolokia/ y a la consola web únicamente desde segmentos de red de administración de confianza;
• Revisar jolokia-access.xml y prohibir exec genéricos y operaciones sensibles de MBeans;
• Evitar el uso de credenciales por defecto;
• Si se sospecha de explotación, rotar las credenciales relacionadas con el Broker y auditar los registros de acceso;
• Añadir control de acceso a las interfaces de administración en el proxy perimetral o WAF.

Límites de seguridad

Esta herramienta no es un exploit ni un disparador de vulnerabilidades. No:

• Invocará Jolokia exec;
• Creará, actualizará ni eliminará connectors;
• Hará que ActiveMQ cargue configuración remota;
• Escribirá en la configuración del Broker;
• Ejecutará comandos del sistema.

Es adecuada como herramienta auxiliar para la investigación de seguridad interna, la verificación de la superficie de exposición de activos y la validación de endurecimiento.

Enlaces de referencia

• Aviso de seguridad de Apache ActiveMQ: https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-34197