Quando um atacante compromete o ActiveMQ, ele não obtém apenas um shell em um servidor. Ele se posiciona no **centro de todos os fluxos de mensagens** da organização, capaz de ler, modificar, redirecionar ou injetar mensagens entre sistemas críticos.

---

## Análise Aprofundada da Vulnerabilidade

### A Arquitetura: Jolokia e JMX

**JMX** (Java Management Extensions) é a interface de gerenciamento padrão para aplicações Java. Ela expõe "MBeans" (Managed Beans) que permitem monitorar e controlar os internals da aplicação. O ActiveMQ expõe MBeans para gerenciar brokers, filas, tópicos, conexões e muito mais.

**Jolokia** é uma ponte JMX-sobre-HTTP. Ela traduz operações JMX em uma API JSON RESTful, tornando possível gerenciar aplicações Java por meio de requisições HTTP, em vez de exigir um cliente JMX dedicado.

O ActiveMQ Classic vem com o Jolokia integrado, acessível em `/api/jolokia/` na porta do console web (padrão: 8161).```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQ está fazendo exatamente o que foi projetado para fazer: carregar uma configuração de broker. O problema é que a fonte da configuração é controlada pelo atacante, e o Spring XML é efetivamente um formato de execução de código.

### A Lacuna de Autenticação

É isso que eleva a vulnerabilidade de grave para crítica:

| Versão do ActiveMQ | Status de Autenticação do Jolokia | Impacto |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | Autenticado (padrões: admin:admin) | RCE autenticado, frequentemente contornado trivialmente |
| 6.0.0 a 6.1.1 | **Completamente não autenticado** | **RCE não autenticado** |
| 6.1.2 a 6.2.2 | Autenticado | RCE autenticado |
| 5.19.4+ / 6.2.3+ | Corrigido | Não vulnerável |

No ActiveMQ 6.0.0 até 6.1.1, o endpoint Jolokia exige **zero autenticação**. Qualquer pessoa que consiga acessar a porta 8161 obtém execução remota de código não autenticada.

Mesmo nas versões em que o Jolokia exige autenticação, as credenciais padrão `admin:admin` são amplamente conhecidas e frequentemente deixadas inalteradas em ambientes de desenvolvimento, homologação e produção.

---

## Análise de Impacto

**Impacto imediato no host do broker:**
- Execução remota de código completa com os privilégios do processo do ActiveMQ
- Acesso a todas as filas de mensagens, tópicos e mensagens armazenadas
- Capacidade de ler/modificar/injetar mensagens em trânsito
- Acesso a arquivos de configuração, keystores e credenciais armazenadas

**Impacto downstream (via manipulação de mensagens):**
- Injeção de mensagens maliciosas em filas de processamento
- Modificação de transações financeiras, pedidos ou comandos em andamento
- Interceptação de dados sensíveis que fluem pelo broker
- Interrupção de todos os serviços dependentes de mensagens

**Amplificação do risco empresarial:**
- O ActiveMQ fica na interseção de todos os aplicativos que o utilizam
- Um único broker comprometido pode afetar dezenas de serviços conectados
- Brokers de mensagens são tipicamente posicionados em zonas de rede confiáveis com amplo acesso
- O movimento lateral é direto a partir da posição de rede do broker```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**Opções:**

| Bandeira | Descrição | Padrão |
|------|-------------|---------|
| `-t`, `--target` | URL de destino única (ex.: `http://host:8161`) | — |
| `-f`, `--file` | Arquivo com URLs de destino, uma por linha (comentários com `#` suportados) | — |
| `-u`, `--username` | Nome de usuário para autenticação Jolokia | — |
| `-p`, `--password` | Senha para autenticação Jolokia | — |
| `-o`, `--output` | Salvar resultados em arquivo JSON | — |
| `--timeout` | Tempo limite de conexão em segundos | `10` |
| `--verify-ssl` | Habilitar verificação de certificado SSL | Desabilitado |
| `-v`, `--verbose` | Saída detalhada com informações completas | Desligado |

**Exemplo de saída:**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**Exemplo de saída do Nmap:**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Se o Passo 1 retornar uma resposta JSON com informações do agente Jolokia, o endpoint não está autenticado. Se o Passo 2 funcionar com credenciais padrão, você tem acesso autenticado. De qualquer forma, se o MBean do broker estiver acessível, o caminho de exploração existe.

---

## Indicadores de Comprometimento

Fique atento a estes sinais no seu ambiente:

| Indicador | Onde Verificar | O Que Procurar |
|:---|:---|:---|
| Acesso Jolokia | Logs de acesso do console web | POST para `/api/jolokia/` contendo `addNetworkConnector` |
| Busca de saída | Logs de rede / firewall | Requisições HTTP do ActiveMQ para hosts externos inesperados |
| Carregamento de Spring XML | Logs do ActiveMQ | Referências a URIs `xbean:http://` |
| Conectores de rede | Configuração do broker | URIs `vm://` com parâmetros `brokerConfig` que você não criou |
| Processos filhos | Monitoramento de processos | Processos inesperados gerados pelo processo Java do ActiveMQ |

**Comandos de investigação:**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq