CVE-2026-106121

Beschreibung

Die RabbitMQ Java-Clientbibliothek ermöglicht es Java- und JVM-basierten Anwendungen, sich mit RabbitMQ-Knoten zu verbinden und mit diesen zu interagieren. Vor 5.37.0 endet com.rabbitmq.tools.json.JSONReader.read() nicht, wenn die Eingabe innerhalb einer zitierten Zeichenfolge oder eines Zeilenkommentars endet, da die Zeichenfolge und die Whitespace-Scanner nicht bei CharacterIterator enden. DONE. Der standardmäßige DefaultJsonRpcMapper übergibt JSON-RPC-Nachrichtentexte an diesen Parser für JsonRpcServer und Client-Antworten. Ein verkürzter String bewirkt, dass der Parser Ersatzendmarken bis zur Heap-Erschöpfung anhängt, während ein Zeilenkommentar ohne eine abschließende Newline einen Thread auf unbestimmte Zeit verbrauchen kann, was zu einer Denial-of-Service führt. Dieses Problem wurde in Version 5.37.0 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq java client.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.