L'échec historique d'Apache ActiveMQ Classic qui a permis d'exécuter des commandes distantes, découvert à l'aide de l'IA Claude

La communauté de sécurité vient de découvrir une défaillance critique dans Apache ActiveMQ Classic qui n'avait pas été détectée depuis plus d'une décennie et qui permet d'exécuter des commandes distantes dans les systèmes touchés. C'est une vulnérabilité enregistrée comme CVE-2026-34197, avec un score de gravité élevée (8.8), qui affecte les versions ActiveMQ Classic avant 5.19.4 et toutes les éditions entre 6.0.0 et 6.2.3 jusqu'à ce que la correction ait été appliquée.

ActiveMQ est un corridor de messages open source écrit en Java et largement utilisé dans les infrastructures d'affaires, les backends web et les environnements gouvernementaux pour gérer la communication asynchrone à travers les queues et les sujets. Bien qu'il y ait une branche plus moderne appelée Artémis, l'édition "classique" reste largement déployée, et cette vulnérabilité a une portée importante dans les environnements réels.

L'impact de cette découverte n'est pas seulement la longévité de l'échec, mais l'outil qui a aidé à identifier la voie d'exploitation : l'assistant de l'IV Claude. Le chercheur d'Horizon3 Naveen Sunkavally explique que par quelques indications à l'IA il a pu obtenir une chaîne d'attaque qui relie plusieurs fonctionnalités de produits. Tel que décrit ci-dessus, la plupart des travaux ont été produits par l'IV puis affinés par la personne de recherche, ce qui illustre comment les modèles peuvent détecter les interactions entre les composantes que les analyses traditionnelles ignorent.

Le vecteur technique profite de l'API de gestion Jolokia sur ActiveMQ. Cette API expose une opération du courtier (addNetworkConnector) qui, combiné à certaines options de configuration de chargement à distance, permet au courtier de télécharger un fichier XML de printemps à partir d'un emplacement contrôlé par l'attaquant. Lors de l'initialisation de ce code système de configuration externe peut être exécuté, conduisant à l'exécution de commande à distance. Horizon3 décrit ce flux et les risques associés dans son rapport technique, qui comprend plus de détails sur la mécanique de défaillance et les recommandations initiales: Rapport Horizon3.

Il y a aussi un fait aggravant: bien que l'opération exige en principe l'authentification via Jolokia, dans certaines versions (en particulier ActiveMQ 6.0.0 à 6.1.1) que la barrière d'accès ait été ouverte par une défaillance séparée, CVE-2024-32114 qui a permis à l'API d'être exposée sans contrôle, laissant implicitement la porte ouverte à une URCE non authentifiée. Cela explique en partie pourquoi le problème aurait pu passer inaperçu pendant si longtemps: les parties impliquées se sont comportées de manière attendue séparément, mais combinées ont permis une chaîne exploitable.

Les responsables d'Apache ont été notifiés à la fin du mois de mars et ont publié une correction rapide; les versions parchénées sont 5.19.4 et 6.2.3. La note de sécurité officielle et l'annonce de correction sont disponibles sur le site Apache ActiveMQ: Annonce Apache sur CVE-2026-34197. Comme toujours dans ces cas, la mise à jour vers les versions séparées devrait être la priorité numéro un pour tout ordinateur utilisant ActiveMQ Classic.

En plus de la mise à jour, les chercheurs recommandent d'examiner les dossiers du courtier pour des indicateurs précis : les connexions internes de type VM qui incluent des paramètres de configuration à distance avec le courtierConfig = xbean: http: / / et toute tentative de connexion répétée accompagnée d'un avis sur les problèmes de configuration. Ces messages peuvent indiquer que le courtier a déjà essayé de charger la configuration malveillante et que l'exécution des commandes peut avoir eu lieu.

L'historique d'ActiveMQ dans les incidents réels rend cet avis particulièrement pertinent. Des exploitations antérieures du même produit ont été utilisées dans des attaques dans le monde réel - et certaines de ces vulnérabilités apparaissent dans les catalogues de risques publics - de sorte que les gestionnaires d'infrastructure devraient traiter ce patch comme urgent. Pour un contexte supplémentaire sur les anciennes vulnérabilités et leur exploitation sur le terrain, la liste des vulnérabilités exploitées de la CISA est une ressource utile : CISA KEV.

Au-delà du patch immédiat, ce cas laisse une leçon sur la sécurité des logiciels: l'analyse automatisée et les revues traditionnelles peuvent perdre les voies d'attaque qui émergent de l'interaction entre les modules développés indépendamment. L'utilisation d'outils d'analyse d'impact à l'appui de la découverte de vulnérabilités s'avère utile, mais elle souligne également la nécessité d'intégrer cette capacité dans les processus d'audit, les tests de sécurité et le contrôle d'accès, et non pas comme un seul substitut aux examens humains.

Si vous gérez des instances d'ActiveMQ Classic, mettez à jour dès que possible, limitez l'accès à l'API de gestion de Jolokia par des contrôles réseau et une authentification forte, et examinez votre journal par des modèles anormaux liés aux connexions VM et aux paramètres de charge de configuration à distance. Pour les détails techniques et l'atténuation, le rapport Horizon3 et l'avis d'Apache sont les références clés: Horizon3 et Apache ActiveMQ.