Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
KEV
Опубликована

CVE-2026-34197

Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans

Публикация: 07.04.2026·Обновлена: 27.10.2026, 01:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ All: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.3. Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issue

Что это значит

Недоверенные данные могут попасть в команду операционной системы. Оцените доступность уязвимого интерфейса и права сервиса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

Требование CISA: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Срок по каталогу KEV: 30.04.2026. Это срок CISA; внутренний срок устранения определяет ваша организация.

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Apache Software Foundation / Apache ActiveMQ Broker 

{
  "status": "affected",
  "version": "0",
  "lessThan": "5.19.4",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "6.0.0",
  "lessThan": "6.2.3",
  "versionType": "semver"
}

Apache Software Foundation / Apache ActiveMQ All 

{
  "status": "affected",
  "version": "0",
  "lessThan": "5.19.4",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "6.0.0",
  "lessThan": "6.2.3",
  "versionType": "semver"
}

Apache Software Foundation / Apache ActiveMQ 

{
  "status": "affected",
  "version": "0",
  "lessThan": "5.19.4",
  "versionType": "semver"
}
{
  "status": "affected",
  "version": "6.0.0",
  "lessThan": "6.2.3",
  "versionType": "semver"
}

Red Hat / Red Hat AMQ Broker 7 

cpe:/a:redhat:amq_broker:7

Red Hat / Red Hat Data Grid 8 

cpe:/a:redhat:jboss_data_grid:8

Red Hat / Red Hat Enterprise Linux 8 

cpe:/o:redhat:enterprise_linux:8

Red Hat / Red Hat Enterprise Linux 9 

cpe:/o:redhat:enterprise_linux:9

Red Hat / Red Hat Fuse 7 

cpe:/a:redhat:jboss_fuse:7

Red Hat / Red Hat JBoss Enterprise Application Platform 7 

cpe:/a:redhat:jboss_enterprise_application_platform:7

Red Hat / Red Hat JBoss Enterprise Application Platform 8 

cpe:/a:redhat:jboss_enterprise_application_platform:8

Red Hat / Red Hat JBoss Enterprise Application Platform Expansion Pack 

cpe:/a:redhat:jbosseapxp

apache / activemq 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.19.4"
}
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:*

apache / activemq 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.2.3",
  "versionStartIncluding": "6.0.0"
}
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:*

apache / activemq_broker 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.19.4"
}
cpe:2.3:a:apache:activemq_broker:*:*:*:*:*:*:*:*

apache / activemq_broker 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.2.3",
  "versionStartIncluding": "6.0.0"
}
cpe:2.3:a:apache:activemq_broker:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve8.8
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · 134c704f-9b21-4f2e-91b3-4a467353bcc08.8
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · 0b0ca135-0b70-47e7-9f44-1890c2a1c46c8.8
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-20 · Некорректная проверка входных данныхCWE-94 · Внедрение исполняемого кодаCWE-78 · Инъекция команд операционной системы

Источники и ссылки

Бюллетень вендора · activemq.apache.org · cveМатериал · www.openwall.com · cveМатериал · www.cisa.gov · cveМатериал · access.redhat.com · cveМатериал · bugzilla.redhat.com · cveМатериал · security.access.redhat.com · cveCISA KEV · www.cisa.gov · kevCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "kev": {
    "source": "kev",
    "received_at": "2026-10-28T12:10:29.470171+00:00"
  },
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:22.809870+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:12:29.942586+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:12:29.942586+00:00"
  },
  "kev_due": {
    "source": "kev",
    "received_at": "2026-10-28T12:10:29.470171+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "kev_date": {
    "source": "kev",
    "received_at": "2026-10-28T12:10:29.470171+00:00"
  },
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:12:29.942586+00:00"
  },
  "solutions": [],
  "kev_action": {
    "source": "kev",
    "received_at": "2026-10-28T12:10:29.470171+00:00"
  },
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:22.809870+00:00"
  },
  "references": [
    "cve",
    "kev",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:12:29.942586+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены29.10.2026, 00:12
  2. Данные обновлены28.10.2026, 18:06
  3. Опубликована28.10.2026, 15:11
  4. Добавлена в CISA KEV28.10.2026, 15:10

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-41043
Apache ActiveMQ, Apache ActiveMQ Web: ActiveMQ Web Console - XSS vulnerability when browsing queues
Apache Software Foundation / Apache ActiveMQ · Apache Software Foundation / Apache ActiveMQ Web
Средний6.5
0,56 %
24.04.2026
CVE-2026-40466
Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Possible bypass of CVE-2026-34197 via HTTP discovery second-stage URI
Apache Software Foundation / Apache ActiveMQ Broker · Apache Software Foundation / Apache ActiveMQ All
Высокий8.8
4,78 %
24.04.2026
CVE-2026-33227
Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ Web, Apache ActiveMQ: Improper Limitation of a Pathname to a Restricted Classpath Directory
Apache Software Foundation / Apache ActiveMQ Client · Apache Software Foundation / Apache ActiveMQ Broker
Средний4.3
0,42 %
07.04.2026
CVE-2026-39304
Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Incorrect handling of TLSv1.3 KeyUpdate can be exploited to cause DoS via OOM
Apache Software Foundation / Apache ActiveMQ Client · Apache Software Foundation / Apache ActiveMQ Broker
Высокий7.5
0,9 %
10.04.2026
CVE-2026-41044
Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ All: Authenticated user can perform RCE via DestinationView MBean exposed by Jolokia
Apache Software Foundation / Apache ActiveMQ · Apache Software Foundation / Apache ActiveMQ Broker
Высокий8.8
0,98 %
24.04.2026
CVE-2026-34197: Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans · CVE Радар