CVE-2026-34197 - Exécution de code à distance (RCE) dans Apache ActiveMQ Jolokia

CVE-2026-34197 est une vulnérabilité d'exécution de code à distance (RCE) de gravité élevée affectant Apache ActiveMQ Classic. Le problème réside dans le pont Jolokia JMX-HTTP, qui expose des opérations de gestion sur HTTP par l'intermédiaire du point de terminaison /api/jolokia/.

La politique d'accès Jolokia par défaut permet aux utilisateurs authentifiés d'invoquer des opérations de gestion sur les MBeans ActiveMQ. Certaines méthodes de gestion du broker acceptent des URI de découverte contrôlées par l'utilisateur. Une URI spécialement conçue peut amener ActiveMQ à charger un contexte d'application Spring XML distant avant que la validation de la configuration du broker n'ait lieu.

Lors de l'initialisation, Spring instancie immédiatement les beans singleton. Étant donné que l'initialisation des beans a lieu avant qu'ActiveMQ ne valide la configuration fournie, des définitions de beans contrôlées par l'attaquant peuvent exécuter du code Java arbitraire dans la JVM du broker. Cela peut finalement aboutir à la compromission complète du processus ActiveMQ avec les privilèges du service en cours d'exécution.

---

Détails techniques

La vulnérabilité affecte l'interaction entre plusieurs composants :

• Apache ActiveMQ Classic
• Jolokia JMX-HTTP Bridge
• Extensions de gestion Java (JMX)
• Opérations de gestion de BrokerService
• ResourceXmlApplicationContext du framework Spring

Normalement, les opérations administratives exposées via Jolokia sont destinées à la gestion du broker. Cependant, certaines méthodes du broker acceptent des références de configuration externes.