📖 Visão Geral

CVE-2026-34197 é uma vulnerabilidade de execução remota de código autenticada, de alta gravidade, que afeta o Apache ActiveMQ Classic.

O problema existe na ponte JMX-HTTP Jolokia exposta através de:

/api/jolokia/

Um invasor autenticado pode abusar de métodos MBean perigosos, como:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

Ao fornecer uma URI de descoberta forjada, o broker carrega um contexto de aplicação Spring XML remoto, que pode instanciar beans maliciosos antes que a validação ocorra, levando à execução arbitrária de código na JVM do broker.

⚡ Impacto

🎯 O que um invasor obtém

• Execução remota de comandos
• Tomada total do broker
• Coleta de credenciais
• Movimento lateral em redes internas
• Risco de implantação de ransomware
• Backdoor persistente via beans Spring maliciosos

🧠 Causa Raiz Técnica

A vulnerabilidade é causada por:

• Validação inadequada de entrada
• Geração de código insegura / fluxo de instanciação de beans
• Permissões padrão perigosas de execução do Jolokia

🔗 Fluxo vulnerável

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

📸 Captura de tela

📦 Versões Afetadas

❌ Vulneráveis

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all em faixas correspondentes

✅ Corrigidas

• 5.19.5
• 6.2.3

🛡️ Mitigação

Ações imediatas

# Upgrade immediately
5.19.5+
6.2.3+

Checklist de defesa

• Atualizar a versão do broker
• Restringir /api/jolokia/
• Desabilitar o Jolokia se não for utilizado
• Rotacionar credenciais de administrador
• Revisar logs de addConnector
• Restringir o console a hosts VPN/internos
• Habilitar regras de proxy reverso no WAF

🔍 Ideias de Detecção

Procure nos logs padrões suspeitos:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 Consulta de Caça no SIEM (Pseudo)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 Por Que Isso Importa

Esse bug é especialmente perigoso porque os brokers ActiveMQ frequentemente:

• estão expostos em redes administrativas internas
• são confiáveis para vários aplicativos
• executam com privilégios elevados do SO
• estão conectados a filas e credenciais sensíveis

Isso torna essa vulnerabilidade um forte vetor de acesso inicial e movimento lateral.

🏷️ Tags

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection