Hitachi Energy SOI — اجرای کد از راه دور در Apache ActiveMQ (CVE-2026-34197)
اطلاعات بر اساس انتشار Hitachi Energy PSIRT و بازنشر CISA: آسیب‌پذیری Improper Control of Generation of Code (CWE-94) در مؤلفه Apache ActiveMQ محصول SOI می‌تواند منجر به اجرای کد از راه دور (RCE) روی JVM بروکر شود. نسخه‌های متأثر و نام CVE عیناً در منبع آمده‌اند؛ اقدام فوری نصب وصله توصیه شده است.
منبع: خلاصه‌ای از Advisory منتشرشده توسط Hitachi Energy و بازنشر شده در CISA. اطلاعات زیر بر اساس آن منبع ارائه شده است. اطلاعات جدید یا تأییدشده‌ی بیشتر باید مستقیماً از Hitachi Energy PSIRT یا بازنشر CISA بررسی شود.
خلاصه فنی
- آسیب‌پذیری: CVE-2026-34197 (CWE-94: Improper Control of Generation of Code — Code Injection).
- مکانیزم سوءاستفاده: Apache ActiveMQ Classic از پل Jolokia JMX-HTTP در مسیر /api/jolokia/ روی کنسول وب استفاده می‌کند. سیاست پیش‌فرض Jolokia امکان اجرای عملیات (exec) روی همهٔ MBeanهای ActiveMQ (org.apache.activemq:*) از جمله BrokerService.addNetworkConnector(String) و BrokerService.addConnector(String) را می‌دهد. یک مهاجم احراز هویت‌شده می‌تواند این عملیات را با یک discovery URI ساخته‌شده فراخوانی کند تا پارامتر brokerConfig در VM transport باعث بارگذاری یک Spring XML از راه دور با استفاده از ResourceXmlApplicationContext شود. از آنجا که ResourceXmlApplicationContext تمام beanهای singleton را قبل از اعتبارسنجی نهایی BrokerService نمونه‌سازی می‌کند، فراخوانی متدهای کارخانهٔ bean (مثلاً Runtime.exec()) می‌تواند منجر به اجرای کد دلخواه روی JVM بروکر شود.
- تاثیر: محرمانگی، یکپارچگی و دسترس‌پذیری محصول تحت تأثیر قرار می‌گیرد. امتیاز پایه CVSS v3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).
محصولات/نسخه‌های متأثر
- طبق منبع: SOI vers:SOI/>=2.0.0|<=2.2.0 (CVE-2026-34197).
اقدامات پیشنهادی و رفع
- توصیهٔ فروشنده: Apply the patch SOI EP2. این وصله ActiveMQ (JMS message broker) در SOI Core را به نسخهٔ 5.19.5 ارتقا می‌دهد، اسکریپت‌های مدیریتی SOI و OpenJDK 11 برای اجرای ActiveMQ را به‌روز می‌کند و کتابخانه‌های کلاینت ActiveMQ را در ماژول WildFly ارتقا می‌دهد. EP2 وصله‌ای تجمعی است که شامل پوشش EP1 نیز می‌شود.
- پیشنهادهای کاهش خطر (از جمله توصیه‌های CISA و راهنمایی‌های عمومی ارائه‌شده در منبع): کاهش در معرض شبکه‌ای دستگاه‌ها و سیستم‌های کنترل (عدم دسترسی مستقیم از اینترنت)، قرار دادن شبکه‌های کنترل پشت فایروال و جداسازی از شبکه‌های تجاری، استفاده از روش‌های دسترسی راه دور ایمن (مثلاً VPN به‌روز) پس از تحلیل اثر و ارزیابی ریسک، و پیروی از بهترین شیوه‌های امنیتی برای سیستم‌های کنترل صنعتی.
خلاصه تحلیلی مستقل
- شدت و برد اثر: امتیاز CVSS و مکانیزم حمله نشان‌دهندهٔ خطر بالا برای سامانه‌هایی است که کنسول مدیریت ActiveMQ و پل Jolokia در دسترس قرار دارند. نکتهٔ کلیدی این است که بارگذاری Spring XML از راه دور پیش از اعتبارسنجی کامل پیکربندی اتفاق می‌افتد که امکان اجرای کد دلخواه را فراهم می‌کند؛ بنابراین دسترسی احراز هویت‌شده به رابط مدیریت کافی است تا سوءاستفاده رخ دهد.
- اولویت‌های عملیاتی: 1) در اسرع وقت SOI EP2 را نصب کنید؛ 2) دسترسی شبکه‌ای به کنسول‌های مدیریتی و هر سرویس مدیریتی مرتبط (از جمله مسیرهای JMX/Jolokia که در منبع ذکر شده‌اند) را محدود و ایزوله کنید؛ 3) سوابق و لاگ‌های بروکر ActiveMQ را برای رفتارهای مشکوک پایش کنید و تحلیل اثر / برنامهٔ بازیابی آماده داشته باشید؛ 4) سیاست‌های دسترسی و اجزای میان‌افزاری (Java/VM، ماژول‌های WildFly) را به‌روزرسانی و سخت‌سازی کنید.
اعتبار و منابع
- این گزارش بر اساس Hitachi Energy PSIRT و بازنشر CISA است و تمام اطلاعات فنی و توصیه‌ها از آن منبع گرفته شده‌اند. Hitachi Energy Internal Team گزارش‌دهندهٔ آسیب‌پذیری بوده است. برای جزئیات عملیاتی و فایل‌های وصله به اعلامیهٔ رسمی Hitachi Energy مراجعه کنید.