Lorsqu'un attaquant compromet ActiveMQ, il n'obtient pas seulement un shell sur un serveur. Il se retrouve au **centre de chaque flux de messages** de l'organisation, capable de lire, modifier, rediriger ou injecter des messages entre les systèmes critiques.

---

## Analyse approfondie de la vulnérabilité

### L'architecture : Jolokia et JMX

**JMX** (Java Management Extensions) est l'interface de gestion standard pour les applications Java. Elle expose des « MBeans » (Managed Beans) qui permettent de surveiller et de contrôler les composants internes de l'application. ActiveMQ expose des MBeans pour gérer les brokers, les files d'attente, les topics, les connexions, et plus encore.

**Jolokia** est un pont JMX-over-HTTP. Il traduit les opérations JMX en une API JSON RESTful, permettant de gérer des applications Java via des requêtes HTTP plutôt que d'exiger un client JMX dédié.

ActiveMQ Classic est livré avec Jolokia intégré, accessible à l'adresse `/api/jolokia/` sur le port de la console web (par défaut : 8161).```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQ fait exactement ce pour quoi il a été conçu : charger une configuration de broker. Le problème est que la source de configuration est contrôlée par l'attaquant, et que le XML Spring est en réalité un format d'exécution de code.

### La lacune d'authentification

C'est ce qui fait passer la vulnérabilité de grave à critique :

| Version d'ActiveMQ | Statut d'authentification Jolokia | Impact |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | Authentifié (valeurs par défaut : admin:admin) | RCE authentifié, souvent trivialement contourné |
| 6.0.0 à 6.1.1 | **Totalement non authentifié** | **RCE non authentifié** |
| 6.1.2 à 6.2.2 | Authentifié | RCE authentifié |
| 5.19.4+ / 6.2.3+ | Corrigé | Non vulnérable |

Sur ActiveMQ 6.0.0 à 6.1.1, le point de terminaison Jolokia ne requiert **aucune authentification**. Toute personne pouvant atteindre le port 8161 obtient une exécution de code à distance non authentifiée.

Même sur les versions où Jolokia exige une authentification, les identifiants par défaut `admin:admin` sont largement connus et fréquemment laissés inchangés dans les environnements de développement, de préproduction et de production.

---

## Analyse de l'impact

**Impact immédiat sur l'hôte du broker :**
- Exécution complète de code à distance avec les privilèges du processus ActiveMQ
- Accès à toutes les files de messages, aux topics et aux messages stockés
- Capacité de lire, modifier ou injecter des messages en transit
- Accès aux fichiers de configuration, aux keystores et aux identifiants stockés

**Impact en aval (via la manipulation des messages) :**
- Injection de messages malveillants dans les files de traitement
- Modification de transactions financières, de commandes ou de requêtes en cours
- Interception de données sensibles transitant par le broker
- Perturbation de tous les services dépendant des messages

**Amplification du risque d'entreprise :**
- ActiveMQ se situe à l'intersection de chaque application qui l'utilise
- Un seul broker compromis peut affecter des dizaines de services connectés
- Les brokers de messages sont généralement positionnés dans des zones réseau de confiance avec un accès étendu
- Le mouvement latéral est simple depuis la position réseau du broker```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**Options :**

| Drapeau | Description | Défaut |
|------|-------------|---------|
| `-t`, `--target` | URL cible unique (par ex. `http://host:8161`) | — |
| `-f`, `--file` | Fichier contenant les URL cibles, une par ligne (commentaires `#` pris en charge) | — |
| `-u`, `--username` | Nom d'utilisateur pour l'authentification Jolokia | — |
| `-p`, `--password` | Mot de passe pour l'authentification Jolokia | — |
| `-o`, `--output` | Enregistrer les résultats dans un fichier JSON | — |
| `--timeout` | Délai de connexion en secondes | `10` |
| `--verify-ssl` | Activer la vérification du certificat SSL | Désactivé |
| `-v`, `--verbose` | Sortie détaillée avec informations complètes | Désactivé |

**Exemple de sortie :**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**Exemple de sortie Nmap :**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Si l'étape 1 renvoie une réponse JSON avec les informations de l'agent Jolokia, le point de terminaison n'est pas authentifié. Si l'étape 2 fonctionne avec les identifiants par défaut, vous disposez d'un accès authentifié. Dans les deux cas, si le MBean du broker est accessible, le chemin d'exploitation existe.

---

## Indicateurs de compromission

Surveillez ces signes dans votre environnement :

| Indicateur | Où vérifier | Ce qu'il faut rechercher |
|:---|:---|:---|
| Accès Jolokia | Journaux d'accès de la console web | POST vers `/api/jolokia/` contenant `addNetworkConnector` |
| Récupération sortante | Journaux réseau / pare-feu | Requêtes HTTP d'ActiveMQ vers des hôtes externes inattendus |
| Chargement XML Spring | Journaux ActiveMQ | Références aux URI `xbean:http://` |
| Connecteurs réseau | Configuration du broker | URI `vm://` avec des paramètres `brokerConfig` que vous n'avez pas créés |
| Processus enfants | Surveillance des processus | Processus inattendus générés par le processus Java ActiveMQ |

**Commandes d'investigation :**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq