CVE-2026-34197
Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans
Em resumo
Usuários autenticados no Apache ActiveMQ conseguem executar código malicioso no servidor explorando um defeito na validação de comandos da interface web Jolokia. O atacante envia uma configuração de conector de rede manipulada que força o sistema a carregar e executar código malicioso de um local remoto.
Detalhe técnico
Falha de validação de entrada (CWE-20) e injeção de código (CWE-94) na ponte Jolokia JMX-HTTP do Apache ActiveMQ (/api/jolokia/) permite que atacantes autenticados obtenham RCE via operações BrokerService.addNetworkConnector() ou addConnector() com uma URI de descoberta maliciosa. O parâmetro brokerConfig do transporte VM carrega um contexto XML Spring remoto através de ResourceXmlApplicationContext, que instancia beans singleton antes da validação, permitindo execução de código via métodos de factory de beans. Afeta versões anteriores a 5.19.4 e 6.0.0–6.2.3.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ.
Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including
BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String).
An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext.
Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec().
This issue affects Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ All: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.3.
Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issue
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.