Apache ActiveMQ Jolokia JMX-HTTP 브릿지 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-34197)

1. 공식 보안 패치 적용

가장 확실한 해결책은 취약점이 해결된 공식 버전으로 업그레이드하는 것입니다.

• 5.19.x 사용자: 5.19.4 이상으로 업그레이드
• 6.x 사용자: 6.2.3 이상으로 업그레이드

2. 임시 완화 조치 (Workaround)

즉각적인 패치가 어려운 경우, 아래의 완화 조치를 적용하여 공격 표면을 최소화하십시오.

A. Jolokia 액세스 정책 제한 (jolokia-access.xml 수정)

ActiveMQ의 conf/jolokia-access.xml 파일을 수정하여 외부에서의 MBean 실행(exec) 권한을 엄격히 제한하거나 비활성화합니다.

<!-- conf/jolokia-access.xml 설정 예시 -->
<strict-checking />
<commands>
    <!-- exec 명령어를 전면 차단하거나 특정 IP 대역으로 제한 -->
    <command>read</command>
    <command>write</command>
    <!-- <command>exec</command> 제거 또는 제한 -->
</commands>

B. 웹 콘솔 접근 제어 및 네트워크 격리

• Jolokia API 엔드포인트(/api/jolokia/)에 대한 외부 접근을 방화벽 또는 리버스 프록시(Nginx 등) 수준에서 차단하십시오.
• ActiveMQ 관리 콘솔은 신뢰할 수 있는 내부 관리자 IP 대역에서만 접근할 수 있도록 ACL(Access Control List)을 설정하십시오.

취약점 개요 및 원인

본 취약점(CVE-2026-34197)은 Apache ActiveMQ Classic의 웹 콘솔에 기본적으로 노출되어 있는 Jolokia JMX-HTTP 브릿지(`/api/jolokia/`)의 부적절한 입력 검증 및 코드 주입(CWE-94, CWE-20)으로 인해 발생합니다.

기본 설정 상태에서 Jolokia의 액세스 제어 정책은 모든 ActiveMQ MBean(org.apache.activemq:*)에 대한 exec 작업 수행을 허용하고 있습니다. 이로 인해 BrokerService.addNetworkConnector(String) 또는 BrokerService.addConnector(String)와 같은 민감한 관리자 기능이 외부 호출에 노출됩니다.

공격 메커니즘 (Exploit Mechanics)

• 인증된 세션 획득: 공격자는 Jolokia API에 접근할 수 있는 유효한 계정 권한을 사용합니다.
• 악의적인 MBean 호출: 공격자는 Jolokia HTTP API를 통해 BrokerService.addNetworkConnector MBean 메서드를 호출합니다.
• VM Transport 및 Spring XML 로드: 호출 시 매개변수로 조작된 discovery URI를 전달합니다. 이 URI는 VM transport의 brokerConfig 매개변수를 트리거하여, 공격자가 제어하는 원격 서버의 Spring XML 애플리케이션 컨텍스트(ResourceXmlApplicationContext)를 로드하도록 유도합니다.
• 임의 코드 실행: Spring의 ResourceXmlApplicationContext는 ActiveMQ의 BrokerService가 구성을 검증하기 전에 정의된 모든 싱글톤 빈(Singleton Bean)을 먼저 인스턴스화합니다. 이 과정에서 공격자가 XML 내에 정의한 Runtime.exec() 등의 Bean 팩토리 메서드가 실행되어 브로커의 JVM 권한으로 임의의 OS 명령어가 실행됩니다.

비즈니스 영향 및 위험도

이 취약점은 CVSS 8.8(High)을 기록하였으며, CISA KEV(실제 악용된 취약점 카탈로그)에 등재되어 실제 공격에 악용되고 있음이 확인되었습니다. 공격 성공 시 메시지 브로커 서버의 완전한 제어권을 탈취당할 수 있으며, 내부망 침투 및 데이터 유출로 이어질 수 있는 치명적인 위험을 내포하고 있습니다.