Laboratorio ActiveMQ Classic CVE-2026-34197

Este repositorio contiene un laboratorio local para estudiar CVE-2026-34197 en Apache ActiveMQ Classic y para comparar una instancia vulnerable con una compilación parcheada.

El repositorio está organizado para respaldar dos objetivos:

• Reproducir el problema en un entorno aislado y estrictamente controlado.
• Validar el comportamiento de remediación con una compilación parcheada de ActiveMQ Classic.

Aviso legal

Este repositorio se proporciona estrictamente para investigación de seguridad defensiva, legal y autorizada en entornos de laboratorio aislados que usted posea o para los que tenga permiso explícito de prueba.

Al utilizar cualquier material de este repositorio, usted acepta que:

• No lo utilizará contra sistemas de terceros, objetivos públicos, entornos de clientes, infraestructura compartida ni ningún sistema sin autorización escrita explícita.
• No lo utilizará para acceso no autorizado, persistencia, interrupción, movimiento lateral, acceso a datos ni ninguna actividad que infrinja la ley, políticas, contratos o requisitos de uso aceptable.
• Entiende que la investigación de seguridad con prueba de concepto puede causar interrupción del servicio, caídas de procesos, corrupción de datos, compromiso del contenedor, acceso a shell y propagación no intencionada si se maneja con descuido.
• Usted es el único responsable del cumplimiento de todas las leyes, regulaciones, contratos y políticas internas aplicables.
• Ejecutará esto solo en sistemas de laboratorio desechables con el aislamiento de red, la supervisión y la capacidad de reversión adecuados.

Este repositorio no está destinado a operaciones ofensivas. Está destinado únicamente a validación, educación, ingeniería de detección, verificación de parches y demostración controlada.

Si no está seguro de estar autorizado para ejecutar este material, no lo ejecute.

Alcance

Este laboratorio se centra en el comportamiento de Apache ActiveMQ Classic en torno a CVE-2026-34197:

• Un contenedor vulnerable basado en apache/activemq-classic:5.19.2
• Un contenedor parcheado construido localmente a partir de ActiveMQ Classic 5.19.4
• Un archivo de payload XML simple utilizado para la validación del laboratorio
• Notas para verificar el comportamiento esperado vulnerable vs. parcheado

Estructura del repositorio

.
├── activemq-patched
│   ├── docker-compose.yml
│   ├── Dockerfile
│   ├── instructions.txt
│   └── poc.xml
├── docker-compose.yml
├── instructions.txt
└── poc.xml

Laboratorio vulnerable

La raíz de este repositorio contiene el laboratorio vulnerable:

• docker-compose.yml inicia un contenedor ActiveMQ Classic 5.19.2 con la consola web y Jolokia expuestos en localhost.
• instructions.txt contiene el flujo de trabajo del laboratorio local utilizado para validar el comportamiento vulnerable.
• poc.xml es la plantilla de payload XML utilizada en el laboratorio.

Puertos típicamente expuestos en el archivo compose vulnerable:

• 8161 - Consola web / Jolokia
• 61616 - OpenWire
• 61613 - STOMP
• 1883 - MQTT
• 5672 - AMQP

Inicie el laboratorio vulnerable:

docker compose up -d

Laboratorio parcheado

El directorio activemq-patched/ contiene un entorno de comparación parcheado:

• Una compilación Docker local basada en ActiveMQ Classic 5.19.4
• Un Dockerfile que actualiza el enlace de Jetty para que la consola web sea accesible desde el host
• Un archivo compose separado que publica el broker parcheado en diferentes puertos de localhost

Puertos típicamente expuestos en el archivo compose parcheado:

• 8261 - Consola web / Jolokia
• 62616 - OpenWire

Construir la imagen parcheada

Descargue el archivo tarball archivado de la versión 5.19.4:

cd activemq-patched
wget https://archive.apache.org/dist/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz

Construya la imagen local:

docker build \
  -t pssec/activemq-classic:5.19.4 \
  --build-arg ACTIVEMQ_VERSION=5.19.4 \
  -f Dockerfile .

Inicie el laboratorio parcheado:

docker compose up -d

Guía de validación

Utilice los archivos instructions.txt proporcionados para el flujo del laboratorio.

Resultado general esperado:

• El entorno vulnerable debería permitir la ruta de conector insegura en el flujo de trabajo del laboratorio.
• El entorno parcheado debería rechazar el esquema inseguro basado en VM y devolver un error similar a VM scheme is not allowed.

Validación no destructiva recomendada

En una prueba interna real, prefiera un comando seguro, observable y no destructivo en lugar de cualquier cosa invasiva.

Un ejemplo sencillo es crear un archivo temporal como:

touch /tmp/pssec_validation_marker

Luego verifique el resultado desde el host:

docker exec -it cve-2026-34197-activemq ls -l /tmp/pssec_validation_marker

Para el entorno parcheado, la validación equivalente debería fallar al crear el archivo cuando la corrección funciona como se espera.

Esto es más seguro que usar un payload interactivo y generalmente es suficiente para demostrar:

• si la ruta vulnerable sigue siendo accesible, o
• si el broker parcheado bloquea el comportamiento peligroso del conector.

Notas

• Mantenga el laboratorio vinculado a 127.0.0.1 cuando sea práctico.
• Utilice contenedores desechables y redes aisladas.
• Restablezca o reconstruya los contenedores entre ejecuciones de prueba.
• Revise los registros del contenedor y las respuestas de Jolokia como parte de la validación.
• Prefiera comprobaciones basadas en archivos no destructivas en lugar de shells interactivos durante la verificación interna.

Empresa

PSsec: https://pssec.io