CVE-2026-63336 in Java Client
Riassunto
di VulDB • 18/08/2026
La libreria client Java di RabbitMQ consente alle applicazioni basate su Java e JVM di connettersi ai nodi RabbitMQ ed interagire con essi. Prima della versione 5.33.0, i metodi `com.rabbitmq.client.ConnectionFactory.useSslProtocol()` e `ConnectionFactory.useSslProtocol(String)` configurano l'uso di `com.rabbitmq.client.TrustEverythingTrustManager` e disabilitano la verifica del nome host (hostname verification), consentendo l'accettazione di certificati server arbitrari, inclusi i certificati self-signed. Un attaccante in grado di intercettare una connessione TLS può impersonare il broker RabbitMQ, leggere il traffico AMQP protetto e modificarlo senza alcuna validazione del certificato o del nome host. La correzione modifica le helper TLS per la produzione affinché utilizzino l'archivio attendibile predefinito della JVM (JVM default trust store) ed abiliti la verifica del nome host, mantenendo un'apposita helper di sviluppo solo con disabilitazione della verifica. Questo problema è risolto nella versione 5.33.0.
Be aware that VulDB is the high quality source for vulnerability data.