Когда злоумышленник компрометирует ActiveMQ, он получает не просто шелл на одном сервере. Он оказывается в **центре всех потоков сообщений** в организации, имея возможность читать, изменять, перенаправлять или внедрять сообщения между критически важными системами.

---

## Глубокий анализ уязвимости

### Архитектура: Jolokia и JMX

**JMX** (Java Management Extensions) — это стандартный интерфейс управления для Java-приложений. Он предоставляет «MBeans» (Managed Beans), которые позволяют осуществлять мониторинг и управление внутренними компонентами приложения. ActiveMQ предоставляет MBeans для управления брокерами, очередями, темами, соединениями и многим другим.

**Jolokia** — это мост JMX через HTTP. Он преобразует операции JMX в RESTful JSON API, позволяя управлять Java-приложениями с помощью HTTP-запросов, не требуя выделенного JMX-клиента.

ActiveMQ Classic поставляется со встроенным Jolokia, доступным по адресу `/api/jolokia/` на порту веб-консоли (по умолчанию: 8161).```
  Traditional JMX Access:
  ┌──────────┐                                 ┌──────────────┐
  │ JConsole │ ────── JMX Protocol ─────────>  │  ActiveMQ    │
  │          │    (requires JMX client)        │  MBeans      │
  └──────────┘                                 └──────────────┘

  Jolokia HTTP Access:
  ┌──────────┐                                ┌──────────────┐
  │  curl /  │ ── POST /api/jolokia/ ───────> │  ActiveMQ    │
  │ browser  │    (just needs HTTP)           │  MBeans      │
  └──────────┘                                └──────────────┘
                       ⬆️
           Anyone with HTTP access can
           invoke MBean operations

ActiveMQ делает ровно то, для чего был спроектирован: загружает конфигурацию брокера. Проблема в том, что источником конфигурации управляет атакующий, а Spring XML по сути является форматом выполнения кода.

### Пробел в аутентификации

Именно это превращает уязвимость из серьёзной в критическую:

| Версия ActiveMQ | Статус аутентификации Jolokia | Воздействие |
|:---:|:---:|:---:|
| 5.x (< 5.19.4) | Требуется аутентификация (по умолчанию: admin:admin) | RCE с аутентификацией, часто тривиально обходится |
| 6.0.0 — 6.1.1 | **Полностью без аутентификации** | **RCE без аутентификации** |
| 6.1.2 — 6.2.2 | Требуется аутентификация | RCE с аутентификацией |
| 5.19.4+ / 6.2.3+ | Исправлено | Не уязвимо |

На ActiveMQ 6.0.0 — 6.1.1 конечная точка Jolokia не требует **никакой аутентификации**. Любой, кто может получить доступ к порту 8161, получает удалённое выполнение кода без аутентификации.

Даже на версиях, где Jolokia требует аутентификацию, учётные данные по умолчанию `admin:admin` широко известны и часто остаются без изменений в средах разработки, тестирования и продакшена.

---

## Анализ воздействия

**Непосредственное воздействие на хост брокера:**
- Полное удалённое выполнение кода с правами процесса ActiveMQ
- Доступ ко всем очередям сообщений, топикам и сохранённым сообщениям
- Возможность чтения, изменения и внедрения сообщений при передаче
- Доступ к файлам конфигурации, хранилищам ключей и сохранённым учётным данным

**Каскадное воздействие (через манипуляцию сообщениями):**
- Внедрение вредоносных сообщений в очереди обработки
- Изменение финансовых транзакций, заказов или команд в процессе выполнения
- Перехват конфиденциальных данных, проходящих через брокер
- Нарушение работы всех сервисов, зависящих от сообщений

**Усиление корпоративного риска:**
- ActiveMQ находится на пересечении всех приложений, которые его используют
- Один скомпрометированный брокер может затронуть десятки подключённых сервисов
- Брокеры сообщений обычно размещаются в доверенных сетевых зонах с широким доступом
- Горизонтальное перемещение из сетевого положения брокера выполняется просто```
  What an attacker can do after exploitation:

  ┌─────────────────────────────────────────────────────────┐
  │               Compromised ActiveMQ Broker               │
  └────┬───────────┬───────────┬───────────┬──────────┬─────┘
       │           │           │           │          │
       ▼           ▼           ▼           ▼          ▼
  Read/modify   Inject       Pivot to     Intercept    Deploy
  messages      malicious    connected    creds in     persistent
  in transit    messages     systems      messages     backdoor

**Параметры:**

| Флаг | Описание | По умолчанию |
|------|-------------|---------|
| `-t`, `--target` | Один целевой URL (например, `http://host:8161`) | — |
| `-f`, `--file` | Файл с целевыми URL, по одному на строку (поддерживаются комментарии `#`) | — |
| `-u`, `--username` | Имя пользователя для аутентификации Jolokia | — |
| `-p`, `--password` | Пароль для аутентификации Jolokia | — |
| `-o`, `--output` | Сохранить результаты в JSON-файл | — |
| `--timeout` | Таймаут подключения в секундах | `10` |
| `--verify-ssl` | Включить проверку SSL-сертификата | Отключено |
| `-v`, `--verbose` | Подробный вывод с полными деталями | Выкл |

**Пример вывода:**```
[*] CVE-2026-34197 Apache ActiveMQ Jolokia RCE Scanner
[*] Scanning 1 target(s)...

======================================================================
Target: http://10.0.0.1:8161
Scan Time: 2026-04-14T15:30:00Z
Risk Level: CRITICAL
======================================================================
  Jolokia Accessible:    YES
  Requires Auth:         NO (unauthenticated)
  ActiveMQ Version:      6.1.0
  Vulnerable:            YES
  Unauth RCE (6.0-6.1): YES — CRITICAL
  Broker MBean Access:   YES

  Details:
    - Jolokia API accessible WITHOUT authentication
    - Detected ActiveMQ version: 6.1.0
    - Version 6.1.0 is in unauthenticated range (6.0.0 - 6.1.1)
      CRITICAL: No auth required!
    - Broker MBean accessible: [org.apache.activemq:type=Broker,...]

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Vulnerable: 1 | Critical: 1
======================================================================

**Пример вывода Nmap:**```
PORT     STATE SERVICE
8161/tcp open  http
| CVE-2026-34197_ActiveMQ_Jolokia:
|   VULNERABLE:
|   Apache ActiveMQ Jolokia RCE (CVE-2026-34197)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     ActiveMQ Version: 6.1.0
|     Jolokia Accessible: true (unauthenticated)
|     Description:
|       CRITICAL: Jolokia API is accessible without authentication on
|       ActiveMQ 6.1.0, enabling unauthenticated remote code execution
|       via addNetworkConnector MBean.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-34197

Если на шаге 1 возвращается JSON-ответ с информацией об агенте Jolokia, значит, конечная точка не требует аутентификации. Если на шаге 2 срабатывают учётные данные по умолчанию, у вас есть аутентифицированный доступ. В любом случае, если MBean брокера доступен, путь эксплуатации существует.

---

## Индикаторы компрометации

Обратите внимание на эти признаки в вашей среде:

| Индикатор | Где проверять | На что обращать внимание |
|:---|:---|:---|
| Доступ к Jolokia | Журналы доступа веб-консоли | POST-запросы к `/api/jolokia/`, содержащие `addNetworkConnector` |
| Исходящие запросы | Сетевые журналы / межсетевой экран | HTTP-запросы от ActiveMQ к неожиданным внешним хостам |
| Загрузка Spring XML | Журналы ActiveMQ | Ссылки на URI `xbean:http://` |
| Сетевые коннекторы | Конфигурация брокера | URI `vm://` с параметрами `brokerConfig`, которые вы не создавали |
| Дочерние процессы | Мониторинг процессов | Неожиданные процессы, порождённые Java-процессом ActiveMQ |

**Команды для расследования:**```bash
# Check ActiveMQ logs for suspicious Jolokia operations
grep -r "addNetworkConnector\|brokerConfig\|xbean:http" /var/log/activemq/

# Check for unexpected network connectors in running broker
curl -sk http://<TARGET>:8161/api/jolokia/read/org.apache.activemq:type=Broker,brokerName=localhost/NetworkConnectors

# Monitor for unexpected outbound connections from the ActiveMQ process
ss -tnp | grep java

# Check for unexpected child processes
ps aux --forest | grep -A5 activemq