CVE-2026-63337 in Java Client
Riassunto
di VulDB • 18/08/2026
La libreria Java di RabbitMQ consente alle applicazioni basate su Java e JVM di connettersi ai nodi RabbitMQ ed interagire con essi. Prima della versione 5.33.0, la classe com.rabbitmq.tools.jsonrpc.ProcedureDescription riceve un valore javaReturnType da una risposta system.describe non attendibile e lo passa attraverso JSONUtil.tryFill, setJavaReturnType e computeReturnTypeAsJavaClass fino a Class.forName(javaReturnType) con l'inizializzazione abilitata. Un attaccante in grado di rispondere alla richiesta JsonRpcClient tramite un broker condiviso o intercettazione della rete può selezionare una classe già presente nella JVM della vittima ed eseguire il suo inizializzatore statico, mentre successivamente JsonRpcClient.java passa l'output di getReturnType a mapper.parse e potrebbe anche creare una condizione di type confusion. Un'esecuzione con successo dell'exploit può compromettere la riservatezza, l'integrità e la disponibilità nel processo client. Questo problema è risolto nella versione 5.33.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.