CVE-2026-34197 - Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnera...

Deskripsi

Validasi Input yang Tidak Tepat, Kontrol yang Tidak Benar terhadap celah keamanan Pembuatan Kode ('Injeksi Kode') di Apache ActiveMQ Broker, Apache ActiveMQ.

Apache ActiveMQ Classic memperlihatkan jembatan Jolokia JMX-HTTP di /api/jolokia/ di konsol web. Kebijakan akses Jolokia default mengizinkan operasi exec di semua MBean ActiveMQ (org.apache.activemq:*), termasuk
BrokerService.addNetworkConnector(String) dan BrokerService.addConnector(String).

pihak tidak berwenang yang terautentikasi dapat menjalankan operasi ini dengan URI penemuan buatan yang memicu parameter brokerConfig transport VM untuk memuat konteks aplikasi Spring XML jarak jauh menggunakan ResourceXmlApplicationContext.
Karena ResourceXmlApplicationContext Spring membuat instance semua singleton beans sebelum BrokerService memvalidasi konfigurasi, eksekusi kode arbitrer terjadi pada JVM broker melalui metode pabrik kacang seperti Runtime.exec().



Masalah ini mempengaruhi Apache ActiveMQ Broker: sebelum 5.19.4, dari 6.0.0 sebelum 6.2.3; Apache ActiveMQ Semua: sebelum 5.19.4, dari 6.0.0 sebelum 6.2.3; Apache ActiveMQ: sebelum 5.19.4, dari 6.0.0 sebelum 6.2.3.



Pengguna disarankan untuk meningkatkan ke versi 5.19.4 atau 6.2.3, yang dapat memperbaiki masalah ini

Metode Serangan

• Eksploitasi jarak jauh melalui layanan jaringan yang terekspos.
• Tidak membutuhkan interaksi pengguna untuk memicu eksploitasi.
• Target utama adalah komponen rentan: cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:*, cpe:2.3:a:apache:activemq_broker:*:*:*:*:*:*:*:*.

IoC

• DOMAIN: org.apache.activemq
• DOMAIN: brokerservice.addnetworkconnector
• DOMAIN: brokerservice.addconnector
• DOMAIN: runtime.exec

Mitigasi

• Segera terapkan patch atau pembaruan resmi dari vendor untuk CVE ini.
• Prioritaskan patch berdasarkan tingkat keparahan dan skor CVSS.
• Batasi paparan layanan ke internet, gunakan firewall, daftar IP yang diizinkan, atau VPN.
• Aktifkan pemantauan log, IDS/IPS, dan peringatan untuk pola serangan terkait.
• Lakukan verifikasi setelah patch (pemindaian kerentanan dan uji fungsi layanan).

Referensi

• https://activemq.apache.org/security-advisories.data/CVE-2026-34197-announcement.txt ([email protected])
• http://www.openwall.com/lists/oss-security/2026/04/06/3 (af854a3a-2127-422b-91ae-364da2661108)
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34197 (134c704f-9b21-4f2e-91b3-4a467353bcc0)