CVE-2026-34197 - Apache ActiveMQ Jolokia रिमोट कोड निष्पादन (RCE)

CVE-2026-34197 एक उच्च गंभीरता वाली रिमोट कोड निष्पादन (RCE) भेद्यता है जो Apache ActiveMQ Classic को प्रभावित करती है। यह समस्या Jolokia JMX-HTTP ब्रिज में मौजूद है, जो /api/jolokia/ एंडपॉइंट के माध्यम से HTTP पर प्रबंधन संचालन को उजागर करता है।

डिफ़ॉल्ट Jolokia पहुंच नीति प्रमाणित उपयोगकर्ताओं को ActiveMQ MBeans पर प्रबंधन संचालन को आमंत्रित करने की अनुमति देती है। कुछ ब्रोकर प्रबंधन विधियाँ उपयोगकर्ता-नियंत्रित डिस्कवरी URI स्वीकार करती हैं। एक विशेष रूप से तैयार किया गया URI ActiveMQ को ब्रोकर कॉन्फ़िगरेशन सत्यापन होने से पहले एक रिमोट Spring XML एप्लिकेशन संदर्भ लोड करने का कारण बन सकता है।

प्रारंभिकरण के दौरान, Spring तुरंत सिंगलटन बीन्स को इंस्टेंशिएट करता है। चूंकि बीन प्रारंभिकरण ActiveMQ द्वारा आपूर्ति किए गए कॉन्फ़िगरेशन को मान्य करने से पहले होता है, हमलावर-नियंत्रित बीन परिभाषाएँ ब्रोकर के JVM के अंदर मनमाना Java कोड निष्पादित कर सकती हैं। इसके परिणामस्वरूप अंततः चल रही सेवा के विशेषाधिकारों के साथ ActiveMQ प्रक्रिया से पूरी तरह समझौता हो सकता है।

---

तकनीकी विवरण

यह भेद्यता निम्नलिखित घटकों के बीच परस्पर क्रिया को प्रभावित करती है:

• Apache ActiveMQ Classic
• Jolokia JMX-HTTP ब्रिज
• Java Management Extensions (JMX)
• BrokerService प्रबंधन संचालन
• Spring Framework का ResourceXmlApplicationContext

सामान्यतः, Jolokia के माध्यम से उजागर किए गए प्रशासनिक संचालन ब्रोकर प्रबंधन के लिए अभिप्रेत हैं। हालांकि, कुछ ब्रोकर विधियाँ बाहरी कॉन्फ़िगरेशन संदर्भ स्वीकार करती हैं।

चूंकि Spring तुरंत बीन्स को लोड और इंस्टेंशिएट करता है, दुर्भावनापूर्ण बीन परिभाषाएँ ActiveMQ द्वारा यह सत्यापित करने से पहले निष्पादित हो सकती हैं कि आपूर्ति किए गए कॉन्फ़िगरेशन को स्वीकार किया जाना चाहिए था या नहीं।