---

📖 概要

CVE-2026-34197 は、Apache ActiveMQ Classic に影響を与える 高深刻度の認証済みリモートコード実行脆弱性です。

この問題は、以下を通じて公開される Jolokia JMX-HTTP ブリッジ に存在します:

/api/jolokia/

認証済みの攻撃者は、以下のような危険な MBean メソッドを悪用できます:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

細工された discovery URI を指定することで、ブローカーはリモートの Spring XML アプリケーションコンテキストを読み込み、検証が行われる前に悪意のある Bean をインスタンス化する可能性があり、その結果、ブローカー JVM 上での任意コード実行につながります。

---

⚡ 影響

指標	値
深刻度	高
CVSS v3.1	8.8
攻撃元	ネットワーク
必要な権限	低 (認証済み)
ユーザー操作	不要
影響	JVM 全体の侵害

🎯 攻撃者が得られるもの

• リモートコマンド実行
• ブローカーの完全な乗っ取り
• 認証情報の窃取
• 内部ネットワーク内での横展開
• ランサムウェア展開のリスク
• 悪意のある Spring Bean による永続的なバックドア

---

🧠 技術的な根本原因

この脆弱性は以下によって引き起こされます:

• 不適切な入力検証
• 安全でないコード生成 / Bean インスタンス化フロー
• 危険なデフォルトの Jolokia exec 権限

🔗 脆弱なフロー

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

---

📸 スクリーンショット

---

📦 影響を受けるバージョン

❌ 脆弱

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• 該当する範囲の activemq-all

✅ 修正済み

• 5.19.5
• 6.2.3

---

🛡️ 緩和策

即時対応

# Upgrade immediately
5.19.5+
6.2.3+

防御チェックリスト

• ブローカーのバージョンをアップグレードする
• /api/jolokia/ を制限する
• 未使用の場合は Jolokia を無効化する
• 管理者認証情報をローテーションする
• addConnector のログを確認する
• コンソールを VPN/内部ホストに制限する
• WAF リバースプロキシルールを有効化する

---

🔍 検出のアイデア

ログから疑わしいパターンを検索します:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 SIEMハントクエリ（疑似）

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 なぜこれが重要なのか

この脆弱性が特に危険なのは、ActiveMQ ブローカーがしばしば次のような状態にあるためです：

• 内部管理ネットワークに公開されている
• 複数のアプリから信頼されている
• 高い OS 権限で実行されている
• 機密性の高いキューや認証情報に接続されている

そのため、これは強力な初期アクセスおよび横展開のベクターとなります。

---

🏷️ タグ

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection

---