CVE-2026-34197 Laboratoire ActiveMQ Classic

Ce dépôt contient un laboratoire local pour étudier CVE-2026-34197 dans Apache ActiveMQ Classic et pour comparer une instance vulnérable à une version corrigée.

Le dépôt est organisé pour atteindre deux objectifs :

• Reproduire le problème dans un environnement étroitement contrôlé et isolé.
• Valider le comportement de remédiation avec une version corrigée d'ActiveMQ Classic.

Avis de non-responsabilité

Ce dépôt est fourni strictement pour la recherche en sécurité défensive, licite et autorisée, dans des environnements de laboratoire isolés dont vous êtes propriétaire ou que vous êtes explicitement autorisé à tester.

En utilisant tout élément de ce dépôt, vous acceptez que :

• Vous ne l'utiliserez pas contre des systèmes tiers, des cibles publiques, des environnements clients, des infrastructures partagées, ou tout système sans autorisation écrite explicite.
• Vous ne l'utiliserez pas pour un accès non autorisé, de la persistance, des perturbations, un mouvement latéral, un accès aux données, ou toute activité qui viole la loi, une politique, un contrat ou des exigences d'utilisation acceptable.
• Vous comprenez que la recherche en sécurité de type preuve de concept peut provoquer une interruption de service, des plantages de processus, une corruption de données, une compromission de conteneur, un accès shell et une propagation non intentionnelle si elle est manipulée avec négligence.
• Vous êtes seul responsable du respect de toutes les lois, réglementations, contrats et politiques internes applicables.
• Vous n'exécuterez ceci que dans des systèmes de laboratoire jetables avec un isolement réseau, une surveillance et une capacité de restauration appropriés.

Ce dépôt n'est pas destiné à des opérations offensives. Il est destiné uniquement à la validation, à l'éducation, à l'ingénierie de détection, à la vérification de correctifs et à la démonstration contrôlée.

Si vous n'êtes pas sûr d'être autorisé à exécuter ce matériel, ne l'exécutez pas.

Portée

Ce laboratoire se concentre sur le comportement d'Apache ActiveMQ Classic autour de CVE-2026-34197 :

• Un conteneur vulnérable basé sur apache/activemq-classic:5.19.2
• Un conteneur corrigé construit localement à partir d'ActiveMQ Classic 5.19.4
• Un fichier de charge utile XML simple utilisé pour la validation du laboratoire
• Notes pour vérifier le comportement attendu vulnérable vs corrigé

Structure du dépôt

.
├── activemq-patched
│   ├── docker-compose.yml
│   ├── Dockerfile
│   ├── instructions.txt
│   └── poc.xml
├── docker-compose.yml
├── instructions.txt
└── poc.xml

Laboratoire vulnérable

La racine de ce dépôt contient le laboratoire vulnérable :

• docker-compose.yml démarre un conteneur ActiveMQ Classic 5.19.2 avec la console web et Jolokia exposés sur localhost.
• instructions.txt contient le flux de travail du laboratoire local utilisé pour valider le comportement vulnérable.
• poc.xml est le modèle de charge utile XML utilisé dans le laboratoire.

Ports généralement exposés dans le fichier compose vulnérable :

• 8161 - Console Web / Jolokia
• 61616 - OpenWire
• 61613 - STOMP
• 1883 - MQTT
• 5672 - AMQP

Démarrer le laboratoire vulnérable :

docker compose up -d

Laboratoire corrigé

Le répertoire activemq-patched/ contient un environnement de comparaison corrigé :

• Une build Docker locale basée sur ActiveMQ Classic 5.19.4
• Un Dockerfile qui met à jour la liaison Jetty afin que la console web soit accessible depuis l'hôte
• Un fichier compose séparé qui publie le broker corrigé sur des ports localhost différents

Ports généralement exposés dans le fichier compose corrigé :

• 8261 - Console Web / Jolokia
• 62616 - OpenWire

Construire l'image corrigée

Téléchargez l'archive tar de la version 5.19.4 archivée :

cd activemq-patched
wget https://archive.apache.org/dist/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz

Construisez l'image locale :

docker build \
  -t pssec/activemq-classic:5.19.4 \
  --build-arg ACTIVEMQ_VERSION=5.19.4 \
  -f Dockerfile .

Démarrer le laboratoire corrigé :

docker compose up -d

Guide de validation

Utilisez les fichiers instructions.txt fournis pour le flux du laboratoire.

Résultat attendu au niveau global :

• L'environnement vulnérable devrait autoriser le chemin de connecteur non sûr dans le flux du laboratoire.
• L'environnement corrigé devrait rejeter le schéma basé sur VM non sûr et renvoyer une erreur similaire à VM scheme is not allowed.

Validation non destructive recommandée

Dans un test interne réel, privilégiez une commande sûre, observable et non destructive plutôt que toute action invasive.

Un exemple simple consiste à créer un fichier temporaire tel que :

touch /tmp/pssec_validation_marker

Vérifiez ensuite le résultat depuis l'hôte :

docker exec -it cve-2026-34197-activemq ls -l /tmp/pssec_validation_marker

Pour l'environnement corrigé, la validation équivalente devrait échouer à créer le fichier lorsque le correctif fonctionne comme prévu.

C'est plus sûr qu'utiliser une charge utile interactive et c'est généralement suffisant pour prouver :

• si le chemin vulnérable est toujours accessible, ou
• si le broker corrigé bloque le comportement dangereux du connecteur.

Remarques

• Gardez le laboratoire lié à 127.0.0.1 lorsque c'est possible.
• Utilisez des conteneurs jetables et des réseaux isolés.
• Réinitialisez ou reconstruisez les conteneurs entre les exécutions de test.
• Examinez les journaux des conteneurs et les réponses Jolokia dans le cadre de la validation.
• Privilégiez les vérifications non destructives basées sur des fichiers plutôt que des shells interactifs lors de la vérification interne.

Entreprise

PSsec : https://pssec.io