# Apache ActiveMQ Jolokia API 未授权访问漏洞 CVE-2024-32114

## 漏洞描述

[ Apache ActiveMQ](https://activemq.apache.org/) 是 Apache 软件基金会开发的一款开源消息中间件，支持 Java 消息服务（JMS）、集群、Spring 框架集成等功能。

CVE-2024-32114 是 Apache ActiveMQ 6.x 在 6.1.2 版本之前存在的一个漏洞，其默认配置未对 API Web 上下文进行安全防护。Jolokia JMX REST API 和 Message REST API 分别位于 `/api/jolokia` 和 `/api/message`，均无需任何身份认证即可访问。未经认证的攻击者可以通过这些 API 与消息代理进行交互，包括管理消息、清空队列以及调用任意 MBean 操作。结合 [CVE-2026-34197](https://github.com/vulhub/vulhub/blob/master/activemq/CVE-2026-34197)，可以在 ActiveMQ 6.0.0 至 6.1.1 版本上实现未授权远程代码执行。

参考链接：

- https://activemq.apache.org/security-advisories.data/CVE-2024-32114-announcement.txt
- https://github.com/advisories/GHSA-gj5m-m88j-v7c3

## 漏洞影响

```
6.0.0 <= Apache ActiveMQ < 6.1.2
```

## 环境搭建

Vulhub 执行如下命令启动 Apache ActiveMQ 6.1.1：

```
docker compose up -d
```

服务启动后，访问 `http://your-ip:8161` 即可看到 ActiveMQ Web 控制台。控制台本身需要凭据（`admin:admin`），但 `/api/` 下的 API 接口无需任何认证即可访问。

![](images/Apache%20ActiveMQ%20Jolokia%20API%20未授权访问漏洞%20CVE-2024-32114/image-20260423231232616.png)

## 漏洞复现

直接访问 Jolokia API 即可验证该漏洞，无需提供任何凭据。发送如下请求列出所有可用的 MBeans：

```
GET /api/jolokia/list HTTP/1.1
Host: your-ip:8161
```

服务器会返回一个包含所有已注册 MBeans 的 JSON 响应，证明 Jolokia API 无需认证即可访问：

![](images/Apache%20ActiveMQ%20Jolokia%20API%20未授权访问漏洞%20CVE-2024-32114/image-20260423230822752.png)

将该漏洞与 [CVE-2026-34197](https://github.com/vulhub/vulhub/blob/master/activemq/CVE-2026-34197) 组合利用，未经认证的攻击者可以实现预认证远程代码执行。利用细节请参考 CVE-2026-34197 的文档。以下演示通过未授权的 Jolokia API 调用 Broker MBean 的 `addNetworkConnector` 操作执行任意代码：

![](images/Apache%20ActiveMQ%20Jolokia%20API%20未授权访问漏洞%20CVE-2024-32114/image-20260423230913123.png)

通过检查容器内的结果文件来验证命令已执行：

```
docker compose exec activemq ls -al /tmp/
```

![](images/Apache%20ActiveMQ%20Jolokia%20API%20未授权访问漏洞%20CVE-2024-32114/image-20260423231052068.png)

```
docker compose exec activemq cat /tmp/awesome_poc
```

![](images/Apache%20ActiveMQ%20Jolokia%20API%20未授权访问漏洞%20CVE-2024-32114/image-20260423231110186.png)

## 漏洞修复

- 建议升级至最新版本。