PT-2026-30805 · Apache · Apache Activemq

Naveen Sunkavally

·

Publicado

2026-04-07

·

Atualizado

2026-06-12

·

CVE-2026-34197

CVSS v2.0

9.0

Alta

VetorAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do Software Vulnerável e Versões Afetadas Apache ActiveMQ Broker versões anteriores a 5.19.7 Apache ActiveMQ Broker versões 6.0.0 a 6.2.5 Apache ActiveMQ All versões anteriores a 5.19.7 Apache ActiveMQ All versões 6.0.0 a 6.2.5 Apache ActiveMQ versões anteriores a 5.19.7 Apache ActiveMQ versões 6.0.0 a 6.2.5
Description Um problema de validação inadequada de entrada e injeção de código existe no Apache ActiveMQ Classic. O software expõe a ponte Jolokia JMX-HTTP no endpoint '/api/jolokia/' no console web. A política de acesso padrão permite operações de execução em todos os MBeans do ActiveMQ, especificamente as funções BrokerService.addNetworkConnector(String) e BrokerService.addConnector(String). Um invasor autenticado pode usar uma URI de descoberta manipulada para acionar o parâmetro brokerConfig do transporte VM para carregar um contexto de aplicação Spring XML remoto via ResourceXmlApplicationContext. Como este contexto instancia beans singleton antes da validação da configuração, código arbitrário pode ser executado na JVM do broker através de métodos de fábrica de beans como Runtime.exec(). Este problema foi explorado em cenários reais. Wrappers de descoberta não parentetizados, como masterslave:vm://...,... e static:vm://..., podem ser usados para ignorar correções anteriores.
Recommendations Atualize o Apache ActiveMQ Broker, Apache ActiveMQ All e Apache ActiveMQ para a versão 5.19.7 ou 6.2.6. Restrinja ou desative as operações de execução do Jolokia e aplique autenticação forte e políticas rigorosas de Jolokia. Bloqueie ou limite o acesso de rede ao endpoint '/api/jolokia/' e restrinja o console web a redes de gerenciamento confiáveis.

Exploit

Correção

LPE

RCE

Code Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2026-04928
BIT-ACTIVEMQ-2026-34197
BIT-ACTIVEMQ-2026-40466
BIT-ACTIVEMQ-2026-45505
CVE-2026-34197
GHSA-RXPJ-7QVF-XV32
GHSA-W3W2-MPP5-92GM
OESA-2026-2124
OESA-2026-2125
OESA-2026-2126
OESA-2026-2127

Produtos afetados

Apache Activemq