CVE-2026-63337

Nome do Software Vulnerável e Versões Afetadas RabbitMQ Java client library versões anteriores a 5.33.0

Descrição A biblioteca RabbitMQ Java client contém um problema onde com.rabbitmq.tools.jsonrpc.ProcedureDescription processa um valor javaReturnType proveniente de uma resposta system.describe não confiável. Este valor é passado através de JSONUtil.tryFill, setJavaReturnType e computeReturnTypeAsJavaClass para Class.forName(javaReturnType) com a inicialização habilitada. Um invasor capaz de interceptar o tráfego de rede ou utilizar um broker compartilhado pode especificar uma classe já presente na JVM da vítima para acionar seu inicializador estático. Além disso, JsonRpcClient.java passa a saída de getReturnType para mapper.parse, o que pode levar a uma confusão de tipos. Isso pode afetar a confidencialidade, integridade e disponibilidade do processo cliente.

Recomendações Atualizar para a versão 5.33.0.