PT-2026-77211
CVE-2026-63337
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
7.5
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات مكتبة عميل RabbitMQ لـ Java الأقدم من 5.33.0
الوصف
تحتوي مكتبة عميل RabbitMQ لـ Java على مشكلة تتمثل في أن
com.rabbitmq.tools.jsonrpc.ProcedureDescription تعالج قيمة javaReturnType الواردة من استجابة system.describe غير موثوق بها. يتم تمرير هذه القيمة عبر JSONUtil.tryFill وsetJavaReturnType وcomputeReturnTypeAsJavaClass إلى Class.forName(javaReturnType) مع تمكين التهيئة. يمكن للمهاجم القادر على اعتراض حركة مرور الشبكة أو استخدام وسيط مشترك تحديد فئة موجودة بالفعل في JVM الخاصة بالضحية لتشغيل مُهيئها الثابت. بالإضافة إلى ذلك، يقوم JsonRpcClient.java بتمرير ناتج getReturnType إلى mapper.parse، مما قد يؤدي إلى حدوث خلط في الأنواع. وقد يؤثر ذلك على سرية وسلامة وتوافر عملية العميل.التوصيات
قم بالتحديث إلى الإصدار 5.33.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾