CVE-2026-34197 - Apache ActiveMQ Jolokia リモートコード実行 (RCE)

CVE-2026-34197 は、Apache ActiveMQ Classic に影響を与える高深刻度のリモートコード実行 (RCE) 脆弱性です。この問題は、/api/jolokia/ エンドポイントを介して管理操作を HTTP で公開する Jolokia JMX-HTTP ブリッジに存在します。

デフォルトの Jolokia アクセスポリシーは、認証されたユーザーが ActiveMQ MBeans に対して管理操作を呼び出すことを許可します。特定のブローカー管理メソッドは、ユーザー制御可能なディスカバリ URI を受け入れます。特別に細工された URI により、ブローカー構成の検証が行われる前に ActiveMQ がリモートの Spring XML アプリケーションコンテキストをロードする可能性があります。

初期化中に、Spring はシングルトンビーンを即座にインスタンス化します。ビーンの初期化は ActiveMQ が提供された構成を検証する前に行われるため、攻撃者が制御するビーン定義により、ブローカーの JVM 内で任意の Java コードが実行される可能性があります。これにより、最終的に実行中のサービスの権限で ActiveMQ プロセスが完全に侵害される可能性があります。

---

技術的詳細

この脆弱性は、以下のコンポーネント間の相互作用に影響を与えます。

• Apache ActiveMQ Classic
• Jolokia JMX-HTTP ブリッジ
• Java Management Extensions (JMX)
• BrokerService 管理操作
• Spring Framework の ResourceXmlApplicationContext

通常、Jolokia を介して公開される管理操作はブローカー管理を目的としています。しかし、特定のブローカーメソッドは外部構成参照を受け入れます。

Spring はビーンを即座にロードしてインスタンス化するため、悪意のあるビーン定義が、ActiveMQ が提供された構成を受け入れるべきかどうかを検証する前に実行される可能性があります。

この順序の問題により、後続の検証ロジックが存在するにもかかわらず、コード実行のプリミティブが作成されます。

---

根本原因

この脆弱性は、2つのセキュリティ設計上の問題が同時に発生した結果です。

1. Jolokia を介して公開される管理 JMX 操作は、攻撃者が制御する入力を受け入れます。
2. Spring は、ActiveMQ が提供された構成を検証する前に、シングルトンビーンを積極的にインスタンス化します。

これらの動作の組み合わせにより、構成検証後ではなく、アプリケーションコンテキストの初期化中に実行が可能になります。

---

影響

悪用に成功すると、認証された攻撃者が以下のことを行える可能性があります。

• ブローカー JVM 内で任意のコードを実行する
• メッセージブローカーの整合性を侵害する
• ホストされているメッセージングインフラストラクチャにアクセスまたは操作する
• デプロイメントアーキテクチャによっては、環境内でさらに水平移動する可能性がある

---

影響を受けるバージョン

影響を受けるリリースは次のとおりです。

ユーザーは以下にアップグレードする必要があります。

• 5.19.4 以降
• 6.2.3 以降

---

緩和策

Apache は以下を推奨しています。

• パッチが適用されたリリースにアップグレードする。
• Jolokia エンドポイントへの管理アクセスを制限する。
• 認証された管理アカウントを制限する。
• 予期しないブローカー構成の変更を監視する。
• ActiveMQ Web コンソールへのアクセスを監査する。

---