CVE-2026-61634 in Java Client
要約
〜によって VulDB • 2026年08月18日
RabbitMQ Javaクライアントライブラリは、JavaおよびJVMベースのアプリケーションがRabbitMQノードに接続し対話することを可能にします。バージョン5.33.0より前では、AMQPコネクションチューニングパスで交渉されたAMQP frame_max値が記録されますが、src/main/java/com/rabbitmq/client/impl/SocketFrameHandler.javaおよびNettyFrameHandlerFactoryは、negotiated limit（交渉済み制限）がsetMaxInboundFramePayloadSizeを通じて一貫して適用されないため、ブローカー制御のframe payload lengthをmaxInboundMessageBodySizeに対して検証し続けます。悪意のあるまたは侵害されたブローカーは、コネクション確立中またはその後にnegotiated frame_maxより大きいmethod frameを送信でき、クライアントがMalformedFrameExceptionで拒否するのではなく、プロトコル無効なframeを割り当ててデコードします。このプロトコル違反により、影響を受けるコネクションの障害や、クライアント側のサービス妨害（DoS）を引き起こす可能性があります。本問題はバージョン5.33.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.