---

📖 Aperçu

CVE-2026-34197 est une vulnérabilité d'exécution de code à distance authentifiée de gravité élevée affectant Apache ActiveMQ Classic.

Le problème réside dans le pont JMX-HTTP Jolokia exposé via :

/api/jolokia/

Un attaquant authentifié peut abuser de méthodes MBean dangereuses telles que :

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

En fournissant une URI de découverte forgée, le broker charge un contexte d'application Spring XML distant, qui peut instancier des beans malveillants avant que la validation ne s'effectue, menant à une exécution de code arbitraire sur la JVM du broker.

---

⚡ Impact

Métrique	Valeur
Gravité	Élevée
CVSS v3.1	8.8
Vecteur d'attaque	Réseau
Privilèges	Faibles (Authentifié)
Interaction utilisateur	Aucune
Impact	Compromission totale de la JVM

🎯 Ce que gagne un attaquant

• Exécution de commandes à distance
• Prise de contrôle totale du broker
• Collecte d'identifiants
• Mouvement latéral au sein des réseaux internes
• Risque de déploiement de rançongiciel
• Porte dérobée persistante via des beans Spring malveillants

---

🧠 Cause racine technique

La vulnérabilité est causée par :

• Une validation d'entrée inappropriée
• Une génération de code / un flux d'instanciation de beans non sécurisé
• Des permissions d'exécution Jolokia par défaut dangereuses

🔗 Flux vulnérable

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

---

📸 Capture d'écran

---

📦 Versions affectées

❌ Vulnérables

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all dans les plages correspondantes

✅ Corrigées

• 5.19.5
• 6.2.3

---

🛡️ Atténuation

Actions immédiates

# Upgrade immediately
5.19.5+
6.2.3+

Liste de contrôle défensive

• Mettre à niveau la version du broker
• Restreindre /api/jolokia/
• Désactiver Jolokia s'il n'est pas utilisé
• Renouveler les identifiants administrateur
• Examiner les journaux addConnector
• Restreindre la console au VPN/hôtes internes
• Activer les règles du proxy inverse WAF

---

🔍 Idées de détection

Rechercher dans les journaux des motifs suspects :

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 Requête de chasse SIEM (pseudo)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

---

🚀 Pourquoi c'est important

Cette faille est particulièrement dangereuse car les brokers ActiveMQ sont souvent :

• exposés sur des réseaux d'administration internes
• approuvés par plusieurs applications
• exécutés avec des privilèges OS élevés
• connectés à des files d'attente et des identifiants sensibles

Cela en fait un vecteur puissant d'accès initial et de déplacement latéral.

---

🏷️ Tags

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection

---