CVE-2026-34197 — Apache ActiveMQ Jolokia: удаленное выполнение кода (RCE)

CVE-2026-34197 — это критическая уязвимость удаленного выполнения кода (RCE), затрагивающая Apache ActiveMQ Classic. Проблема существует в мосте Jolokia JMX-HTTP, который предоставляет операции управления через HTTP по конечной точке /api/jolokia/.

Политика доступа Jolokia по умолчанию позволяет аутентифицированным пользователям вызывать операции управления над MBeans ActiveMQ. Некоторые методы управления брокером принимают управляемые пользователем URI обнаружения. Специально созданный URI может заставить ActiveMQ загрузить удаленный контекст приложения Spring XML до проверки конфигурации брокера.

Во время инициализации Spring немедленно создает экземпляры синглтон-бинов. Поскольку инициализация бинов происходит до того, как ActiveMQ проверит переданную конфигурацию, управляемые злоумышленником определения бинов могут выполнить произвольный Java-код внутри JVM брокера. Это в конечном итоге может привести к полной компрометации процесса ActiveMQ с привилегиями работающего сервиса.

---

Технические детали

Уязвимость затрагивает взаимодействие нескольких компонентов:

• Apache ActiveMQ Classic
• Мост Jolokia JMX-HTTP
• Расширения управления Java (JMX)
• Операции управления BrokerService
• Spring Framework ResourceXmlApplicationContext

Обычно административные операции, доступные через Jolokia, предназначены для управления брокером. Однако некоторые методы брокера принимают внешние ссылки на конфигурацию.