---

📖 Visão Geral

CVE-2026-34197 é uma vulnerabilidade de execução remota de código autenticada de alta severidade que afeta o Apache ActiveMQ Classic.

O problema existe na ponte JMX-HTTP do Jolokia exposta através de:

/api/jolokia/

Um atacante autenticado pode abusar de métodos MBean perigosos, como:

• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

Ao fornecer uma URI de descoberta manipulada, o broker carrega um contexto de aplicação Spring XML remoto, que pode instanciar beans maliciosos antes que a validação ocorra, levando à execução arbitrária de código na JVM do broker.

---

⚡ Impacto

Métrica	Valor
Severidade	Alta
CVSS v3.1	8.8
Vetor de Ataque	Rede
Privilégios	Baixo (Autenticado)
Interação do Usuário	Nenhuma
Impacto	Comprometimento total da JVM

🎯 O que um atacante obtém

• Execução remota de comandos
• Controle total do broker
• Coleta de credenciais
• Movimentação lateral dentro de redes internas
• Risco de implantação de ransomware
• Backdoor persistente via beans Spring maliciosos

---

🧠 Causa Raiz Técnica

A vulnerabilidade é causada por:

• Validação de entrada inadequada
• Fluxo inseguro de geração de código / instanciação de beans
• Permissões de execução padrão perigosas do Jolokia

🔗 Fluxo vulnerável

graph TD
    A[Authenticated User] --> B[/api/jolokia/]
    B --> C[exec MBean method]
    C --> D[addConnector / addNetworkConnector]
    D --> E[Crafted discovery URI]
    E --> F[Remote Spring XML Load]
    F --> G[Bean Instantiation]
    G --> H[Arbitrary JVM Code Execution]

---

📸 Captura de tela

---

📦 Versões afetadas

❌ Vulneráveis

• Apache ActiveMQ < 5.19.4
• Apache ActiveMQ 6.0.0 - 6.2.2
• activemq-all nos intervalos correspondentes

✅ Corrigidas

• 5.19.5
• 6.2.3

---

🛡️ Mitigação

Ações imediatas

# Upgrade immediately
5.19.5+
6.2.3+

Checklist de defesa

• Atualizar a versão do broker
• Restringir /api/jolokia/
• Desativar o Jolokia se não for utilizado
• Rotacionar as credenciais de administrador
• Revisar os logs de addConnector
• Restringir o console a VPN/hosts internos
• Ativar as regras de proxy reverso do WAF

---

🔍 Ideias de Detecção

Pesquise nos logs por padrões suspeitos:

/api/jolokia/exec
addNetworkConnector
addConnector
brokerConfig=
ResourceXmlApplicationContext
Runtime.exec

🧪 Consulta de Caça SIEM (Pseudo)

SELECT * FROM logs
WHERE path LIKE '%jolokia%'
AND (
  message LIKE '%addConnector%'
  OR message LIKE '%brokerConfig=%'
)

🚀 Por que isso importa

Esse bug é especialmente perigoso porque os brokers do ActiveMQ frequentemente estão:

• expostos em redes administrativas internas
• confiados por múltiplos aplicativos
• executando com altos privilégios de SO
• conectados a filas e credenciais sensíveis

Isso o torna um forte vetor de acesso inicial e movimento lateral.

---

🏷️ Tags

#cve #activemq #rce #apache #jolokia #redteam #blueteam #threatdetection

---