📖 개요

CVE-2026-34197은 Apache ActiveMQ Classic에 영향을 미치는 고위험 인증 원격 코드 실행 취약점입니다.

이 문제는 다음 경로를 통해 노출되는 Jolokia JMX-HTTP 브리지에 존재합니다:

/api/jolokia/

인증된 공격자는 다음과 같은 위험한 MBean 메서드를 악용할 수 있습니다:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

제작된 discovery URI를 제공하면 브로커가 원격 Spring XML 애플리케이션 컨텍스트를 로드하며, 이 컨텍스트는 검증이 수행되기 전에 악성 빈을 인스턴스화하여 브로커 JVM에서의 임의 코드 실행으로 이어집니다.

⚡ 영향

🎯 공격자가 얻을 수 있는 것

• 원격 명령 실행
• 전체 브로커 장악
• 자격 증명 수집
• 내부 네트워크에서의 측면 이동
• 랜섬웨어 배포 위험
• 악성 Spring 빈을 통한 지속적 백도어

🧠 기술적 근본 원인

이 취약점의 원인은 다음과 같습니다:

• 부적절한 입력 검증
• 안전하지 않은 코드 생성 / 빈 인스턴스화 흐름
• 위험한 기본 Jolokia exec 권한

🔗 취약한 흐름

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

📸 스크린샷

📦 영향을 받는 버전

❌ 취약한 버전

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• 일치하는 범위의 activemq-all

✅ 패치된 버전

• 5.19.5
• 6.2.3

🛡️ 완화 조치

즉시 조치

# Upgrade immediately
5.19.5+
6.2.3+

방어 체크리스트

• 브로커 버전 업그레이드
• /api/jolokia/ 접근 제한
• 사용하지 않으면 Jolokia 비활성화
• 관리자 자격 증명 교체
• addConnector 로그 검토
• 콘솔을 VPN/내부 호스트로 제한
• WAF 리버스 프록시 규칙 활성화

🔍 탐지 아이디어

로그에서 의심스러운 패턴을 검색하세요:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 SIEM 헌트 쿼리 (의사 코드)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 이것이 중요한 이유

이 버그는 ActiveMQ 브로커가 흔히 다음과 같은 상태이기 때문에 특히 위험합니다:

• 내부 관리 네트워크에 노출됨
• 여러 애플리케이션에서 신뢰됨
• 높은 OS 권한으로 실행됨
• 민감한 큐 및 자격 증명과 연결됨

따라서 이 취약점은 강력한 초기 접근 및 측면 이동 벡터가 됩니다.

🏷️ 태그

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection