CVE-2026-77406 in amqp091-go
要約
〜によって VulDB • 2026年09月16日
RabbitMQ amqp091-goは、Go言語のAMQP 0.9.1クライアントです。バージョン1.13.0より前では、channel.go内のChannel.Qosがnegative prefetchCountおよびprefetchSize整数を受け入れ、validateQosが存在しないため、これらをbasic.qosメソッド内のuint16およびuint32フィールドに直接キャストしていました。そのため、-1などの値は拒否されるのではなく、それぞれ65535や4294967295にラップされます。これらのQoS値に対して信頼できない設定を許可するアプリケーションは、意図せず非常に大きなprefetch制限を要求することになり、結果としてブローカーがキュー内のメッセージ量を過剰に配信し、クライアントのメモリを使い果たして処理を妨害することがあります。この問題はバージョン1.13.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.