CVE-2026-42588

Résumé

Vulnérabilité de validation incorrecte des entrées et de contrôle incorrect de la génération de code (« injection de code ») dans Apache ActiveMQ Broker, Apache ActiveMQ All et Apache ActiveMQ. Apache ActiveMQ Classic expose le pont JMX-HTTP Jolokia à l'adresse /api/jolokia/ sur la console web. La politique d'accès Jolokia par défaut autorise les opérations exec sur tous les MBeans ActiveMQ (org.apache.activemq:*), y compris BrokerService.addNetworkConnector(String). Un attaquant authentifié peut invoquer ces opérations avec un URI de découverte spécialement conçu qui déclenche le paramètre brokerConfig du transport VM à l'aide de l'URL « masterslave:// », ce qui peut permettre le chargement d'un contexte d'application Spring XML via ResourceXmlApplicationContext. Comme ResourceXmlApplicationContext de Spring instancie tous les beans singleton avant que BrokerService ne valide la configuration, une exécution de code arbitraire se produit sur la JVM du broker par l'intermédiaire de méthodes de bean factory telles que Runtime.exec(). Ce problème affecte Apache ActiveMQ Broker : versions antérieures à 5.19.7, à partir de 6.0.0 et avant 6.2.6 ; Apache ActiveMQ All : versions antérieures à 5.19.7, à partir de 6.0.0 et avant 6.2.6 ; Apache ActiveMQ : versions antérieures à 5.19.7, à partir de 6.0.0 et avant 6.2.6. Il est recommandé aux utilisateurs de passer à la version 5.19.7 ou 6.2.6, qui corrige le problème.

• apache-activemq-rce-researchRecherche

  Recherche sur l'exécution de code à distance (RCE) dans Apache ActiveMQ Classic : chaîne de contournement CVE-2026-34197 / CVE-2026-42588 + constats d'audit de hardened-6.2.6 + comparaison avec Crowdfense