CVE-2026-34197: Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ：已认证用户可通过 Jolokia MBeans 执行 RCE | Kitploit

CVE-2026-34197

高已发布

Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ：已认证用户可通过 Jolokia MBeans 执行 RCE

已发布: 2026年4月7日
已更新: 2026年8月17日
分配 CNA: apache
观察到的证据: 2026年4月16日

初级CVSS

8.8/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS概率估计

98.3%

高 · 未来 30 天

百分位: 99.9%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

CISA 已知被利用

此 CVE 出现在 CISA 已知利用的漏洞目录中。

总结

不正确的输入验证、代码生成控制不当（“代码注入”）漏洞，影响 Apache ActiveMQ Broker、Apache ActiveMQ。Apache ActiveMQ Classic 在 Web 控制台的 /api/jolokia/ 路径暴露了 Jolokia JMX-HTTP 桥接器。默认的 Jolokia 访问策略允许对所有 ActiveMQ MBean（org.apache.activemq:*）执行 exec 操作，包括 BrokerService.addNetworkConnector(String) 和 BrokerService.addConnector(String)。经过身份验证的攻击者可以通过精心构造的 discovery URI 调用这些操作，触发 VM 传输的 brokerConfig 参数，利用 ResourceXmlApplicationContext 加载远程 Spring XML 应用程序上下文。由于 Spring 的 ResourceXmlApplicationContext 会在 BrokerService 验证配置之前实例化所有单例 Bean，因此可通过 Bean 工厂方法（如 Runtime.exec()）在代理的 JVM 上实现任意代码执行。此问题影响 Apache ActiveMQ Broker：5.19.4 之前版本，6.0.0 至 6.2.3 之前版本；Apache ActiveMQ All：5.19.4 之前版本，6.0.0 至 6.2.3 之前版本；Apache ActiveMQ：5.19.4 之前版本，6.0.0 至 6.2.3 之前版本。建议用户升级至修复了此问题的 5.19.4 或 6.2.3 版本。

来源

CVE-2026-34197漏洞利用
CVE-2026-34197
CVE-2026-34197漏洞利用
Apache ActiveMQ 通过 Jolokia 的远程代码执行漏洞分析与复现笔记
CVE-2026-34197漏洞利用

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。