CVE-2026-63335 in Java Client
Zusammenfassung
von VulDB • 18.08.2026
Die RabbitMQ Java-Clientbibliothek ermöglicht es Java- und JVM-basierten Anwendungen, sich mit RabbitMQ-Knoten zu verbinden und mit diesen zu interagieren. Vor Version 5.31.0 verarbeitet die Assemblierung eingehender AMQP-Befehle in src/main/java/com/rabbitmq/client/impl/CommandAssembler.java eine Methode und einen Header mit Inhalten, bei denen der Wert von remainingBodyBytes kleiner ist als die folgende AMQP.FRAME_BODY-Nutzlast. CommandAssembler.consumeBodyFrame subtriziert die vom Peer gesteuerte Länge der Nutzlast, bevor überprüft wird, ob diese passt, wodurch remainingBodyBytes negativ wird und stattdessen eine rohe UnsupportedOperationException anstelle einer MalformedFrameException ausgelöst wird. Ein bösartiger oder kompromittierter Broker-Peer kann diese fehlerhafte Sequenz über einen offenen Kanal mit ungleich Null senden, um die Rahmenverarbeitung zu beenden und die Clientverbindung zu schließen, was zu einem Denial of Service (DoS) für Arbeiten führt, die diese Verbindung nutzen. Dieses Problem wurde in Version 5.31.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.