Ferramenta de verificação de segurança do ActiveMQ Classic para CVE-2026-34197

Esta é uma ferramenta de detecção de superfície de exposição do Apache ActiveMQ Classic voltada para defesa e investigação em redes internas, utilizada para auxiliar na avaliação de riscos relacionados ao CVE-2026-34197.

Este projeto não contém código de exploração de vulnerabilidades, não executa Jolokia exec, não cria connectors, não carrega XML remoto e não modifica o estado do Broker. A ferramenta realiza apenas sondagens HTTP somente-leitura e verificações opcionais de configuração local, sendo adequada para auditorias de segurança em ambientes internos autorizados.

Abordagem de detecção

A ferramenta não depende apenas do número da versão, mas combina múltiplos tipos de evidências:

• Se a versão do ActiveMQ Classic está dentro do intervalo afetado;
• Se /api/jolokia/version está acessível;
• Se o Jolokia requer autenticação;
• Se os metadados do ActiveMQ MBean podem ser lidos via Jolokia;
• Se os metadados expõem nomes de operações que podem alterar o estado de execução;
• Se a configuração local apresenta sinais de risco, como política de acesso do Jolokia excessivamente permissiva, autenticação desativada e bind muito amplo.

Essas verificações são comportamentos somente-leitura e têm como objetivo ajudar a avaliar a superfície de exposição e a prioridade de hardening.

Como usar

Verificar a versão:

python3 activemq_cve_2026_34197_checker.py --version 5.18.3

Verificar a superfície de exposição do Jolokia:

python3 activemq_cve_2026_34197_checker.py --url http://127.0.0.1:8161

Verificar com autenticação:

python3 activemq_cve_2026_34197_checker.py \
  --url http://127.0.0.1:8161 \
  --username admin \
  --password admin

Escaneiar o diretório de configuração local:

python3 activemq_cve_2026_34197_checker.py --config-path /opt/activemq/conf

Verificação combinada:

python3 activemq_cve_2026_34197_checker.py \
  --version 5.18.3 \
  --url http://127.0.0.1:8161 \
  --config-path /opt/activemq/conf

Descrição da saída

A ferramenta gera saída em JSON, e os campos principais incluem:

• version: entrada de versão e avaliação de risco da versão;
• jolokia: resultados da sondagem somente-leitura do Jolokia;
• config_path: caminho do escaneamento da configuração local;
• findings: pontos de risco encontrados, nível, causa e evidências;
• remediation: recomendações de correção e hardening.

Os sinais de risco comuns incluem:

• A interface Jolokia pode ser acessada sem autorização;
• Os metadados do ActiveMQ MBean podem ser enumerados;
• Operações do Broker que alteram o estado de execução são visíveis nos metadados do Jolokia;
• A política de jolokia-access.xml é excessivamente permissiva;
• Suspeita de autenticação desativada na configuração;
• Serviços relacionados ao Jolokia vinculados a um endereço muito amplo.

Recomendações de remediação

Recomenda-se priorizar a atualização do Apache ActiveMQ Classic para as versões corrigidas:

• 5.19.4 ou versões mais recentes;
• 6.2.3 ou versões mais recentes.

Além disso, recomenda-se:

• Restringir o acesso a /api/jolokia/ e ao Web Console somente a partir de segmentos de rede administrativa confiáveis;
• Revisar o jolokia-access.xml e proibir exec amplo e operações sensíveis de MBean;
• Evitar o uso de credenciais padrão;
• Se houver suspeita de exploração, rotacionar as credenciais relacionadas ao Broker e auditar os logs de acesso;
• Adicionar controle de acesso às interfaces administrativas no proxy de borda ou WAF.

Limites de segurança

Esta ferramenta não é um exploit nem um gatilho de vulnerabilidades. Ela não irá:

• Invocar o Jolokia exec;
• Criar, atualizar ou excluir connectors;
• Fazer o ActiveMQ carregar configuração remota;
• Gravar na configuração do Broker;
• Executar comandos do sistema.

Ela é adequada como ferramenta auxiliar para investigações internas de segurança, verificação da superfície de exposição de ativos e validação de hardening.

Links de referência

• Comunicado de segurança do Apache ActiveMQ: https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-34197