CVE-2026-42588
Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ：通过 Jolokia addNetworkConnector 远程代码执行
- 已发布
- 2026年6月1日
- 已更新
- 2026年6月2日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月8日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N低 · 未来 30 天
- 百分位
- 52.7%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
输入验证不当、代码生成控制不当（“代码注入”）漏洞影响 Apache ActiveMQ Broker、Apache ActiveMQ All 和 Apache ActiveMQ。Apache ActiveMQ Classic 在 Web 控制台上通过 /api/jolokia/ 暴露 Jolokia JMX-HTTP 桥接。默认的 Jolokia 访问策略允许对所有 ActiveMQ MBean（org.apache.activemq:*）执行 exec 操作，包括 BrokerService.addNetworkConnector(String)。经过身份验证的攻击者可以使用特制的发现 URI 调用这些操作，该 URI 使用 “masterslave:// ” URL 触发 VM 传输的 brokerConfig 参数，从而允许通过 ResourceXmlApplicationContext 加载 Spring XML 应用程序上下文。由于 Spring 的 ResourceXmlApplicationContext 会在 BrokerService 验证配置之前实例化所有单例 Bean，因此可以通过 Bean 工厂方法（如 Runtime.exec()）在 broker 的 JVM 上执行任意代码。此问题影响 Apache ActiveMQ Broker：5.19.7 之前、6.0.0 至 6.2.6 之前；Apache ActiveMQ All：5.19.7 之前、6.0.0 至 6.2.6 之前；Apache ActiveMQ：5.19.7 之前、6.0.0 至 6.2.6 之前。建议用户升级至修复了该问题的 5.19.7 或 6.2.6 版本。
来源
5Apache ActiveMQ Classic RCE研究：CVE-2026-34197 / CVE-2026-42588 绕过链 + hardened-6.2.6 审计发现 + Crowdfense 比较
- CVE-2026-42588漏洞利用
基于Python的CVE-2026-42588 RCE利用，针对Apache ActiveMQ Jolokia。具有仅检查模式、恶意XML生成，并支持反向shell、OOB和基于文件的验证。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。