CVE-2026-34197 - Apache ActiveMQ Jolokia Esecuzione di Codice Remota (RCE)

CVE-2026-34197 è una vulnerabilità di Esecuzione di Codice Remota (RCE) ad alta gravità che colpisce Apache ActiveMQ Classic. Il problema esiste all'interno del bridge Jolokia JMX-HTTP, che espone operazioni di gestione tramite HTTP attraverso l'endpoint /api/jolokia/.

La politica di accesso predefinita di Jolokia consente agli utenti autenticati di invocare operazioni di gestione sugli MBean di ActiveMQ. Alcuni metodi di gestione del broker accettano URI di discovery controllati dall'utente. Un URI appositamente modificato può far sì che ActiveMQ carichi un contesto applicativo Spring XML remoto prima che avvenga la convalida della configurazione del broker.

Durante l'inizializzazione, Spring istanzia immediatamente i bean singleton. Poiché l'inizializzazione dei bean avviene prima che ActiveMQ convalidi la configurazione fornita, le definizioni di bean controllate dall'attaccante possono eseguire codice Java arbitrario all'interno della JVM del broker. Ciò può infine portare al completo compromesso del processo ActiveMQ con i privilegi del servizio in esecuzione.

---

Dettagli Tecnici

La vulnerabilità riguarda l'interazione tra diversi componenti:

• Apache ActiveMQ Classic
• Jolokia JMX-HTTP Bridge
• Java Management Extensions (JMX)
• Operazioni di gestione di BrokerService
• ResourceXmlApplicationContext di Spring Framework

Normalmente, le operazioni amministrative esposte tramite Jolokia sono destinate alla gestione del broker. Tuttavia, alcuni metodi del broker accettano riferimenti a configurazioni esterne.