CVE-2026-69219 in Java Client
要約
〜によって VulDB • 2026年08月18日
RabbitMQ Javaクライアントライブラリは、JavaおよびJVMベースのアプリケーションがRabbitMQノードに接続し対話することを可能にします。バージョン5.33.1より前では、src/main/java/com/rabbitmq/client/impl/ValueReader.javaにおいて、ValueReader.readBytesを使用して、Integer.MAX_VALUE未満と宣言されたcontentLengthを受け取り、フレーム内で利用可能なバイト数をチェックする前にbyte配列を割り当てています。悪意のあるAMQPピアは、認証前のconnection.startサーバープロパティテーブル中に、型タグSおよび0x7FFFFFFEのような宣言長を持つLongStringまたはbyte-arrayフィールドを送信し、readFullyがデータを消費する前に約2GBの割り込みとOutOfMemoryErrorを引き起こします。結果として生じるメモリ枯渇はJVMを終了させ、サービス拒否（DoS）の原因となります。この問題はバージョン5.33.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.