CVE-2026-41714
ŚrednieCVSS 4.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Spring AMQP, aplikacje konfigurujące połączenie z brokerem przez RabbitConnectionFactoryBean.setUri("amqps://...") bez wywołania setUseSSL(true) otrzymują szyfrowanie TLS bez walidacji certyfikatu i weryfikacji nazwy hosta.
Ocena ryzyka
Atakujący typu man-in-the-middle może przechwycić i modyfikować komunikację z brokerem RabbitMQ, ponieważ brak weryfikacji certyfikatu i hosta umożliwia podszywanie się pod broker.
Rekomendacja
Należy zawsze wywoływać setUseSSL(true) po skonfigurowaniu URI z protokołem amqps://, aby zapewnić pełną walidację TLS. Aktualizacja do najnowszej wersji Spring AMQP również jest zalecana.
Inne podatności w Spring AMQP
Zobacz wszystkie- CVE-2016-2173Krytyczne
Wersje Spring AMQP przed 1.5.5 zawierają podatność w klasie org.springframework.core.serializer.DefaultDeserializer, która umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2026-59320Średnie
Gdy skonfigurowany jest ErrorHandler na poziomie kontenera (środek łagodzący dla znaleziska 221000), każde dostarczenie, którego przetwarzanie zgłasza błąd, trwale zużywa jeden kredyt linku. Po osiągnięciu initialCredits (domyślnie 100) nieudanych wiadomości kredyt odbiorcy spada do zera i broker przestaje dostarczać, pozostawiając słuchacza cicho zablokowanego, podczas gdy isRunning() nadal zwraca true. Podatność dotyczy Spring AMQP 4.1.0.
- CVE-2026-59272Średnie
Aplikacje wysyłające logi do RabbitMQ przez TLS za pomocą appenderów Log4j2, polegające na udokumentowanym domyślnym ustawieniu, są narażone na atak man-in-the-middle, który może przechwycić każde zdarzenie logowania. Dotyczy to Spring AMQP w wersjach 4.1.0, 4.0.0-4.0.4, 3.2.0-3.2.12 oraz 2.4.18 i wcześniejszych.
- CVE-2026-59275Średnie
Pojedyncza wroga wiadomość AMQP może zakończyć działanie całego JVM konsumenta (System.exit(99)), a nie tylko wątku nasłuchującego — co powoduje całkowitą utratę dostępności dla wszystkich obciążeń współdzielących ten proces. Podatność dotyczy Spring AMQP w wersjach 4.1.0, 4.0.0-4.0.4, 3.2.0-3.2.12 oraz 2.4.18 i wcześniejszych.
- CVE-2026-59271Średnie
Gdy kontrola aliveness zarządzania RabbitMQ zakończy się niepowodzeniem, skonfigurowane hasło administratora jest osadzone w postaci zwykłego tekstu w komunikacie wyjątku. Podatność dotyczy Spring AMQP w wersjach 4.1.0, 4.0.0-4.0.4, 3.2.0-3.2.12 oraz 2.4.18 i wcześniejszych.
- CVE-2026-47860Średnie
Atakujący, który może publikować wiadomości do kolejki konsumowanej przez aplikację z włączoną dekompresją wiadomości, może doprowadzić do awarii JVM konsumenta pojedynczą wiadomością o rozmiarze około 1 MB. Dotyczy Spring AMQP 4.1.0, 4.0.0-4.0.4, 3.2.0-3.2.12 oraz 2.4.18 i wcześniejszych.
- CVE-2026-41701Średnie
Podatność w Spring AMQP powoduje, że identyfikatory korelacji dla odpowiedzi w metodzie RabbitTemplate.sendAndReceive() z ustaloną kolejką odpowiedzi są przewidywalne z powodu wewnętrznego prostego licznika. Dotyczy wersji Spring AMQP 4.0.0-4.0.3, 3.2.0-3.2.10, 3.1.0-3.1.15 oraz 2.4.0-2.4.17.
Oryginalny opis (angielski, źródło NVD)
Applications that configure their broker connection via RabbitConnectionFactoryBean.setUri("amqps://...") without also calling setUseSSL(true) get TLS encryption with no certificate validation and no hostname verification. Affected versions: Spring AMQP 4.0.0 through 4.0.3; 3.2.0 through 3.2.10; 3.1.0 through 3.1.15; 2.4.0 through 2.4.17.