CVE-2026-34197 ActiveMQ Classic Инструмент проверки безопасности

Это инструмент для обнаружения поверхности атаки Apache ActiveMQ Classic, предназначенный для защиты и внутреннего аудита, помогающий оценить риски, связанные с CVE-2026-34197.

Данный проект не содержит эксплойтов, не выполняет Jolokia exec, не создает коннекторы, не загружает удаленный XML и не изменяет состояние Broker. Инструмент выполняет только read-only HTTP-зондирование и опциональную проверку локальной конфигурации, подходит для безопасного аудита в авторизованных внутренних средах.

Методика проверки

Инструмент не полагается только на номер версии, а комбинирует множество свидетельств:

• Находится ли версия ActiveMQ Classic в зоне уязвимости;
• Доступен ли /api/jolokia/version;
• Требуется ли аутентификация для Jolokia;
• Читаются ли метаданные MBean ActiveMQ через Jolokia;
• Присутствуют ли в метаданных операции, способные изменить состояние работы;
• Есть ли в локальной конфигурации признаки слишком широкой политики доступа Jolokia, отключенной аутентификации, широкой привязки и т.д.

Эти проверки являются только read-only, цель — помочь определить поверхность атаки и приоритеты усиления защиты.

Использование

Проверка версии:

python3 activemq_cve_2026_34197_checker.py --version 5.18.3

Проверка поверхности Jolokia:

python3 activemq_cve_2026_34197_checker.py --url http://127.0.0.1:8161

Проверка с аутентификацией:

python3 activemq_cve_2026_34197_checker.py \
  --url http://127.0.0.1:8161 \
  --username admin \
  --password admin

Сканирование локального каталога конфигурации:

python3 activemq_cve_2026_34197_checker.py --config-path /opt/activemq/conf

Комбинированная проверка:

python3 activemq_cve_2026_34197_checker.py \
  --version 5.18.3 \
  --url http://127.0.0.1:8161 \
  --config-path /opt/activemq/conf

Описание вывода

Инструмент выводит JSON, ключевые поля:

• version: введенная версия и оценка риска по версии;
• jolokia: результаты read-only зондирования Jolokia;
• config_path: путь сканирования локальной конфигурации;
• findings: обнаруженные точки риска, уровень, причина и доказательства;
• remediation: рекомендации по исправлению и усилению.

Типичные сигналы риска:

• Интерфейс Jolokia доступен без авторизации;
• Метаданные MBean ActiveMQ могут быть перечислены;
• В метаданных Jolokia видны операции Broker, изменяющие состояние;
• Политика jolokia-access.xml слишком широкая;
• В конфигурации, вероятно, отключена аутентификация;
• Связанные с Jolokia службы привязаны к широкому адресу.

Рекомендации по исправлению

Рекомендуется в первую очередь обновить Apache ActiveMQ Classic до исправленной версии:

• 5.19.4 или новее;
• 6.2.3 или новее.

Также рекомендуется:

• Ограничить доступ к /api/jolokia/ и веб-консоли только доверенными управляющими сетями;
• Проверить jolokia-access.xml, запретить широкие exec и чувствительные операции MBean;
• Избегать использования учетных данных по умолчанию;
• При подозрении на эксплуатацию сменить учетные данные Broker и проверить журналы доступа;
• На пограничном прокси или WAF добавить контроль доступа к интерфейсам управления.

Границы безопасности

Этот инструмент не является эксплойтом и не вызывает уязвимость. Он не:

• вызывает Jolokia exec;
• создает, обновляет или удаляет коннекторы;
• заставляет ActiveMQ загружать удаленную конфигурацию;
• записывает конфигурацию Broker;
• выполняет системные команды.

Он подходит в качестве вспомогательного инструмента для внутреннего аудита безопасности, проверки поверхности активов и валидации усиления защиты.

Ссылки

• Оповещение о безопасности Apache ActiveMQ: https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-34197