CVE-2026-59320
ŚrednieCVSS 6.5Streszczenie
Gdy skonfigurowany jest ErrorHandler na poziomie kontenera (środek łagodzący dla znaleziska 221000), każde dostarczenie, którego przetwarzanie zgłasza błąd, trwale zużywa jeden kredyt linku. Po osiągnięciu initialCredits (domyślnie 100) nieudanych wiadomości kredyt odbiorcy spada do zera i broker przestaje dostarczać, pozostawiając słuchacza cicho zablokowanego, podczas gdy isRunning() nadal zwraca true. Podatność dotyczy Spring AMQP 4.1.0.
Ocena ryzyka
Ryzyko obejmuje całkowite zatrzymanie przetwarzania wiadomości, co może prowadzić do przerw w działaniu aplikacji i utraty wiadomości. Może to skutkować niedostępnością usług i naruszeniem ciągłości biznesowej.
Rekomendacja
Zaleca się aktualizację Spring AMQP do wersji z poprawką. Należy również monitorować stan kredytów linku i wdrożyć mechanizmy ostrzegawcze o potencjalnym zatrzymaniu.
Oryginalny opis (angielski, źródło NVD)
When a container-level ErrorHandler is configured (the mitigation for finding 221000), each delivery whose processing throws still permanently consumes one link credit. After initialCredits (default 100) failing messages the receiver's credit reaches zero and the broker stops delivering, leaving the listener silently stalled while isRunning() remains true. Spring AMQP 4.1.0