CVE-2026-63336 in Java Client
الملخص
بحسب VulDB • 18/08/2026
تسمح مكتبة عميل RabbitMQ للـ Java للتطبيقات القائمة على Java وJVM بالاتصال بعقد RabbitMQ والتفاعل معها. قبل الإصدار 5.33.0، كانت الدالتان `com.rabbitmq.client.ConnectionFactory.useSslProtocol()` و`ConnectionFactory.useSslProtocol(String)` تُضبطان فئة `com.rabbitmq.client.TrustEverythingTrustManager` وتُعطّلان التحقق من اسم المضيف (hostname verification)، مما يؤدي إلى قبول شهادات الخوادم التعسفية، بما في ذلك الشهادات ذات التوقيع الذاتي. يمكن لمهاجم على الشبكة قادر على اعتراض اتصال TLS انتحال هوية وسيط RabbitMQ، وقراءة حركة مرور AMQP المحمية، وتعديل الحركة دون التحقق من الشهادة أو اسم المضيف. يُغيّر الإصلاح مساعدي TLS الخاصين بالإنتاج لاستخدام مستودع الثقة الافتراضي لـ JVM ويُمكّن التحقق من اسم المضيف، مع الاحتفاظ بمساعد مخصص للاختبار فقط (development-only) لا يقوم بالتحقق. تم إصلاح هذه المشكلة في الإصدار 5.33.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.