CVE-2026-42588

Resumo

Validação de Entrada Incorreta, Controle Incorreto da Geração de Código ('Injeção de Código') vulnerabilidade no Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. O Apache ActiveMQ Classic expõe a ponte JMX-HTTP do Jolokia em /api/jolokia/ no console web. A política de acesso padrão do Jolokia permite operações exec em todos os MBeans do ActiveMQ (org.apache.activemq:*), incluindo BrokerService.addNetworkConnector(String). Um atacante autenticado pode invocar essas operações com um URI de descoberta especialmente criado que aciona o parâmetro brokerConfig do transporte VM usando a URL "masterslave:// ", o que pode permitir o carregamento de um contexto de aplicação Spring XML usando ResourceXmlApplicationContext. Como o ResourceXmlApplicationContext do Spring instancia todos os beans singleton antes que o BrokerService valide a configuração, ocorre execução arbitrária de código na JVM do broker por meio de métodos de fábrica de beans, como Runtime.exec(). Este problema afeta o Apache ActiveMQ Broker: antes de 5.19.7, de 6.0.0 antes de 6.2.6; Apache ActiveMQ All: antes de 5.19.7, de 6.0.0 antes de 6.2.6; Apache ActiveMQ: antes de 5.19.7, de 6.0.0 antes de 6.2.6. Recomenda-se que os usuários atualizem para a versão 5.19.7 ou 6.2.6, que corrige o problema.

• apache-activemq-rce-researchPesquisa

  Pesquisa de RCE no Apache ActiveMQ Classic: cadeia de bypass dos CVE-2026-34197 / CVE-2026-42588 + resultados da auditoria do hardened-6.2.6 + comparação com Crowdfense

• CVE-2026-42588