攻撃者がActiveMQを侵害すると、単に1台のサーバーでシェルを取得するだけでは終わりません。攻撃者は組織内の**すべてのメッセージフローの中心**に位置し、重要システム間のメッセージを読み取り、変更、リダイレクト、または注入することができます。

---

## 脆弱性の詳細解説

### アーキテクチャ: JolokiaとJMX

**JMX**（Java Management Extensions）は、Javaアプリケーションの標準的な管理インターフェースです。アプリケーション内部の監視と制御を可能にする「MBean」（Managed Beans）を公開します。ActiveMQは、ブローカー、キュー、トピック、接続などを管理するためのMBeanを公開します。

**Jolokia**は、JMX-over-HTTPブリッジです。JMX操作をRESTfulなJSON APIに変換し、専用のJMXクライアントを必要とせずにHTTPリクエスト経由でJavaアプリケーションを管理できるようにします。

ActiveMQ ClassicにはJolokiaが組み込まれており、Webコンソールのポート（デフォルト: 8161）で`/api/jolokia/`にアクセスできます。```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQは、設計されたとおりの動作をしています。ブローカー構成を読み込んでいるのです。問題は、構成ソースが攻撃者によって制御されており、Spring XMLが事実上コード実行形式であることです。

### 認証のギャップ

これこそが、この脆弱性を深刻なものから致命的なものへと引き上げる要因です。

| ActiveMQバージョン | Jolokia認証ステータス | 影響 |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | 認証あり（デフォルト: admin:admin） | 認証済みRCE、多くの場合簡単に回避可能 |
| 6.0.0 から 6.1.1 | **完全に認証なし** | **認証なしRCE** |
| 6.1.2 から 6.2.2 | 認証あり | 認証済みRCE |
| 5.19.4+ / 6.2.3+ | パッチ適用済み | 脆弱性なし |

ActiveMQ 6.0.0から6.1.1では、Jolokiaエンドポイントは**ゼロ認証**を必要とします。ポート8161に到達できる者は誰でも、認証なしのリモートコード実行を取得できます。

Jolokiaが認証を必要とするバージョンであっても、デフォルトの認証情報`admin:admin`は広く知られており、開発、ステージング、本番環境で変更されずに残されていることがよくあります。

---

## 影響分析

**ブローカーホストへの直接的な影響:**
- ActiveMQプロセスの権限による完全なリモートコード実行
- すべてのメッセージキュー、トピック、保存済みメッセージへのアクセス
- 転送中のメッセージの読み取り、変更、注入が可能
- 構成ファイル、キーストア、保存済み認証情報へのアクセス

**下流への影響（メッセージ操作による）:**
- 処理キューへの悪意のあるメッセージの注入
- 処理中の金融取引、注文、コマンドの変更
- ブローカーを通過する機密データの傍受
- メッセージに依存するすべてのサービスの中断

**エンタープライズリスクの増幅:**
- ActiveMQは、それを使用するすべてのアプリケーションの交差点に位置します
- 単一の侵害されたブローカーが、数十の接続されたサービスに影響を与える可能性があります
- メッセージブローカーは通常、広範なアクセス権を持つ信頼されたネットワークゾーンに配置されます
- ブローカーのネットワーク上の位置からの横方向の移動は簡単です```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**オプション:**

| フラグ | 説明 | デフォルト |
|------|-------------|---------|
| `-t`, `--target` | 単一のターゲットURL（例: `http://host:8161`） | — |
| `-f`, `--file` | ターゲットURLを1行に1つずつ含むファイル（`#`コメント対応） | — |
| `-u`, `--username` | Jolokia認証用のユーザー名 | — |
| `-p`, `--password` | Jolokia認証用のパスワード | — |
| `-o`, `--output` | 結果をJSONファイルに保存 | — |
| `--timeout` | 接続タイムアウト（秒） | `10` |
| `--verify-ssl` | SSL証明書の検証を有効化 | 無効 |
| `-v`, `--verbose` | 詳細情報を含む冗長出力 | オフ |

**出力例:**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**Nmap出力の例:**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

ステップ1でJolokiaエージェント情報を含むJSONレスポンスが返された場合、エンドポイントは認証なしです。ステップ2がデフォルト認証情報で成功した場合、認証済みアクセスが得られています。どちらの場合でも、ブローカーのMBeanにアクセスできれば、エクスプロイトの経路が存在します。

---

## 侵害の痕跡（IoC）

環境内で以下の兆候に注意してください：

| 指標 | 確認場所 | 探すべき内容 |
|:---|:---|:---|
| Jolokiaアクセス | Webコンソールのアクセスログ | `addNetworkConnector` を含む `/api/jolokia/` へのPOST |
| 外部へのフェッチ | ネットワークログ / ファイアウォール | ActiveMQから予期しない外部ホストへのHTTPリクエスト |
| Spring XMLの読み込み | ActiveMQログ | `xbean:http://` URIへの参照 |
| ネットワークコネクタ | ブローカー設定 | 自分が作成していない `brokerConfig` パラメータを含む `vm://` URI |
| 子プロセス | プロセス監視 | ActiveMQ Javaプロセスから生成された予期しないプロセス |

**調査コマンド：**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq