CVE-2026-42588

概要

Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ における不適切な入力検証、コード生成の不適切な制御（'コードインジェクション'）の脆弱性。Apache ActiveMQ Classic は、Web コンソールの /api/jolokia/ で Jolokia JMX-HTTP ブリッジを公開しています。デフォルトの Jolokia アクセスポリシーは、BrokerService.addNetworkConnector(String) を含む、すべての ActiveMQ MBean（org.apache.activemq:*）に対する exec 操作を許可しています。認証済みの攻撃者は、細工したディスカバリ URI を使用してこれらの操作を呼び出すことができます。このディスカバリ URI は、"masterslave:// " URL を使用して VM トランスポートの brokerConfig パラメータをトリガーし、ResourceXmlApplicationContext を使用した Spring XML アプリケーションコンテキストのロードを可能にします。Spring の ResourceXmlApplicationContext は、BrokerService が設定を検証する前にすべてのシングルトン Bean をインスタンス化するため、Runtime.exec() などの Bean ファクトリメソッドを通じて、ブローカーの JVM 上で任意のコード実行が発生します。この問題は、Apache ActiveMQ Broker（5.19.7 未満、6.0.0 以上 6.2.6 未満）、Apache ActiveMQ All（5.19.7 未満、6.0.0 以上 6.2.6 未満）、Apache ActiveMQ（5.19.7 未満、6.0.0 以上 6.2.6 未満）に影響します。ユーザーは、この問題を修正するバージョン 5.19.7 または 6.2.6 にアップグレードすることを推奨します。

• apache-activemq-rce-research研究

  Apache ActiveMQ Classic RCE研究：CVE-2026-34197 / CVE-2026-42588 バイパスチェーン + hardened-6.2.6 監査結果 + Crowdfense比較

• CVE-2026-42588エクスプロイト

  Apache ActiveMQ Jolokia を標的とする CVE-2026-42588 の Python ベースの RCE エクスプロイト。チェックのみモード、悪意のある XML 生成、リバースシェル、OOB、ファイルベースの検証のサポートを備えています。