„`html
Zusammenfassung
CVE-2026-45505 ist eine kritische Sicherheitslücke in Apache ActiveMQ mit dem CVSS-Wert 8.8 (High). Die Schwachstelle resultiert aus unzureichender Eingabevalidierung und ermöglicht Code-Injection-Angriffe. Sie stellt einen Bypass der Sicherheitsmaßnahmen dar, die ursprünglich in CVE-2026-34197 implementiert wurden. Nicht geklammerte Discovery Wrapper wie masterslave:vm://...,... und static:vm://... umgehen die Validierungsmechanismen.
Betroffene Systeme
- Apache ActiveMQ Broker: Versionen vor 5.19.7 und 6.0.0 bis vor 6.2.6
- Apache ActiveMQ All: Versionen vor 5.19.7 und 6.0.0 bis vor 6.2.6
- Apache ActiveMQ: Versionen vor 5.19.7 und 6.0.0 bis vor 6.2.6
Technische Details
Die Schwachstelle nutzt die Jolokia JMX-HTTP Bridge, die standardmäßig unter /api/jolokia/ exponiert wird. Die Default-Zugriffsrichtlinie erlaubt exec-Operationen auf alle ActiveMQ-MBeans (org.apache.activemq:*). Ein authentifizierter Angreifer kann die Methoden BrokerService.addNetworkConnector(String) und BrokerService.addConnector(String) mit manipulierten Discovery-URLs aufrufen.
Die VM-Transport-Konfiguration wird mit dem brokerConfig-Parameter manipuliert, um ein entferntes Spring-XML-Kontextobjekt via ResourceXmlApplicationContext zu laden. Spring instanziiert alle Singleton-Beans, bevor der BrokerService die Konfiguration validiert. Dies ermöglicht Remote Code Execution durch Bean-Factory-Methoden wie Runtime.exec().
Empfohlene Massnahmen
- Sofortiges Upgrade: Aktualisieren Sie auf Apache ActiveMQ 5.19.7 oder 6.2.6
- Zugriffskontrolle: Implementieren Sie strikte Zugriffskontrollrichtlinien für die Jolokia-API
- Netzwerksegmentierung: Begrenzen Sie den Zugriff auf die ActiveMQ-Web-Konsole
- Authentifizierung: Deaktivieren Sie unzureichende Authentifizierungsmechanismen
- Monitoring: Überwachen Sie Jolokia-API-Aufrufe und verdächtige Discovery-URLs
Bewertung
CVSS-Score: 8.8 (High)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja
Patch verfügbar: Ja
Diese Sicherheitslücke erfordert sofortiges Handeln aufgrund des hohen Schweregrades und der Möglichkeit, beliebigen Code auszuführen.
„`