CVE-2026-42588

요약

Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ에 영향을 미치는 부적절한 입력 검증(Improper Input Validation) 및 코드 생성 제어 부재('코드 인젝션')(Improper Control of Generation of Code ('Code Injection')) 취약점입니다. Apache ActiveMQ Classic은 웹 콘솔의 /api/jolokia/ 경로에서 Jolokia JMX-HTTP 브리지를 노출합니다. 기본 Jolokia 액세스 정책은 BrokerService.addNetworkConnector(String)을 포함한 모든 ActiveMQ MBean(org.apache.activemq:*)에 대한 exec 작업을 허용합니다. 인증된 공격자는 "masterslave:// " URL을 사용하여 VM 전송의 brokerConfig 매개변수를 트리거하는 조작된 discovery URI로 이러한 작업을 호출할 수 있으며, 이를 통해 ResourceXmlApplicationContext를 사용하여 Spring XML 애플리케이션 컨텍스트를 로드할 수 있습니다. Spring의 ResourceXmlApplicationContext는 BrokerService가 구성을 검증하기 전에 모든 싱글턴 빈을 인스턴스화하므로, Runtime.exec()과 같은 빈 팩토리 메서드를 통해 브로커의 JVM에서 임의 코드 실행이 발생합니다. 이 문제는 Apache ActiveMQ Broker: 5.19.7 이전 버전, 6.0.0부터 6.2.6 이전 버전; Apache ActiveMQ All: 5.19.7 이전 버전, 6.0.0부터 6.2.6 이전 버전; Apache ActiveMQ: 5.19.7 이전 버전, 6.0.0부터 6.2.6 이전 버전에 영향을 미칩니다. 사용자는 이 문제를 해결하는 5.19.7 또는 6.2.6 버전으로 업그레이드하는 것이 좋습니다.

• apache-activemq-rce-research연구

  Apache ActiveMQ Classic RCE 연구: CVE-2026-34197 / CVE-2026-42588 우회 체인 + hardened-6.2.6 감사 결과 + Crowdfense 비교

• CVE-2026-42588익스플로잇

  Apache ActiveMQ Jolokia를 대상으로 하는 CVE-2026-42588용 Python 기반 RCE 익스플로잇입니다. 확인 전용 모드, 악성 XML 생성, 리버스 셸, OOB 및 파일 기반 검증을 지원합니다.