CVE-2026-40971
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W przypadku korzystania z pakietu SSL, automatyczna konfiguracja RabbitMQ w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas łączenia się z brokerem RabbitMQ. Podatność dotyczy Spring Boot 4.0.0–4.0.5 (poprawka w 4.0.6) oraz 3.5.0–3.5.13 (poprawka w 3.5.14).
Ocena ryzyka
Brak weryfikacji nazwy hosta umożliwia ataki typu man-in-the-middle, co może prowadzić do przechwycenia lub modyfikacji komunikacji z brokerem RabbitMQ.
Rekomendacja
Zaktualizuj Spring Boot do wersji 4.0.6 lub 3.5.14 (w zależności od używanej gałęzi), które zawierają poprawkę weryfikacji nazwy hosta.
Oryginalny opis (angielski, źródło NVD)
When configured to use an SSL bundle, Spring Boot's RabbitMQ auto-configuration does not perform hostname verification when connecting to the RabbitMQ broker. Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6), 3.5.0–3.5.13 (fix 3.5.14) per vendor advisory.