CVE-2026-41044
Apache ActiveMQ、Apache ActiveMQ Broker、Apache ActiveMQ All：经身份验证的用户可通过Jolokia暴露的DestinationView MBean执行RCE
- 已发布
- 2026年4月24日
- 已更新
- 2026年7月15日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月26日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H低 · 未来 30 天
- 百分位
- 66.3%
- 型号日期
- 2026年10月15日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
输入验证不当、生成代码控制不当（“代码注入”）漏洞，影响 Apache ActiveMQ、Apache ActiveMQ Broker、Apache ActiveMQ All。经过身份验证的攻击者可以利用管理 Web 控制台页面构造一个恶意 broker 名称，绕过名称验证，包含一个 xbean 绑定，该绑定随后可被 VM transport 用于加载远程 Spring XML 应用程序。攻击者随后可以使用 DestinationView mbean 发送消息，触发 VM transport 的创建，该 transport 将引用此恶意 broker 名称，从而可能导致加载恶意 Spring XML 上下文文件。由于 Spring 的 ResourceXmlApplicationContext 在 BrokerService 验证配置之前实例化所有单例 bean，因此通过 bean 工厂方法（如 Runtime.exec()）可在 broker 的 JVM 上执行任意代码。此问题影响 Apache ActiveMQ：5.19.6 之前版本，6.0.0 至 6.2.5 之前版本；Apache ActiveMQ Broker：5.19.6 之前版本，6.0.0 至 6.2.5 之前版本；Apache ActiveMQ All：5.19.6 之前版本，6.0.0 至 6.2.5 之前版本。建议用户升级到修复此问题的 6.2.5 或 5.19.6 版本。
来源
# CVE-2026-41044 教学演练与概念验证 针对 Apache ActiveMQ 远程代码执行（RCE）漏洞的教学演练与概念验证，包含根因分析与检测脚本。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。