CVE-2026-34197 - Apache ActiveMQ Jolokia: Ejecución Remota de Código (RCE)

CVE-2026-34197 es una vulnerabilidad de ejecución remota de código (RCE) de alta severidad que afecta a Apache ActiveMQ Classic. El problema se encuentra dentro del puente Jolokia JMX-HTTP, que expone operaciones de gestión a través de HTTP mediante el endpoint /api/jolokia/.

La política de acceso predeterminada de Jolokia permite a los usuarios autenticados invocar operaciones de gestión en los MBeans de ActiveMQ. Ciertos métodos de gestión del broker aceptan URI de descubrimiento controladas por el atacante. Una URI especialmente manipulada puede hacer que ActiveMQ cargue un contexto de aplicación Spring XML remoto antes de que se realice la validación de la configuración del broker.

Durante la inicialización, Spring instancia los beans singleton inmediatamente. Dado que la inicialización de los beans ocurre antes de que ActiveMQ valide la configuración suministrada, las definiciones de beans controladas por el atacante pueden ejecutar código Java arbitrario dentro de la JVM del broker. Esto puede resultar, en última instancia, en el compromiso total del proceso de ActiveMQ con los privilegios del servicio en ejecución.

---

Detalles Técnicos

La vulnerabilidad afecta la interacción entre varios componentes:

• Apache ActiveMQ Classic
• Puente Jolokia JMX-HTTP
• Java Management Extensions (JMX)
• Operaciones de gestión de BrokerService
• ResourceXmlApplicationContext de Spring Framework

Normalmente, las operaciones administrativas expuestas a través de Jolokia están destinadas a la gestión del broker. Sin embargo, ciertos métodos del broker aceptan referencias a configuraciones externas.