CVE-2026-63336 in Java Client
Sumário
de VulDB • 18/08/2026
A biblioteca de cliente Java do RabbitMQ permite que aplicações Java e baseadas na JVM se conectem e interajam com os nós do RabbitMQ. Antes da versão 5.33.0, `com.rabbitmq.client.ConnectionFactory.useSslProtocol()` e `ConnectionFactory.useSslProtocol(String)` configuravam o `com.rabbitmq.client.TrustEverythingTrustManager` e deixavam a verificação de hostname desativada, fazendo com que certificados de servidor arbitrários, incluindo certificados autoassinados (self-signed), fossem aceitos. Um atacante na rede capaz de interceptar uma conexão TLS pode se passar pelo broker do RabbitMQ, ler o tráfego AMQP protegido e modificar o tráfego sem validação de certificado ou hostname. A correção altera os helpers de TLS para produção para usar a trust store padrão da JVM e habilita a verificação de hostname, mantendo um helper explicitamente nomeado apenas para desenvolvimento que não realiza verificações. Este problema foi corrigido na versão 5.33.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.