Vulnérabilité dans com.rabbitmq:amqp-client (CVE-2026-106121)
Résumé
Vulnérabilité dans com.rabbitmq:amqp-client (CVE-2026-106121). Risque d'opérations non autorisées ou de divulgation. Exploitable via CharacterIterator.DONE. Atténuation : mise à jour vers 5.36.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
com.rabbitmq.tools.json.JSONReader.read() never returns when its input ends inside a quoted string or a // line comment. Both scanners walk the input with StringCharacterIterator.next() but only compare against a delimiter, so once the iterator reaches CharacterIterator.DONE () they loop forever. The string scanner (string(), line 210, while (c != sep)) also appends to a StringBuilder every iteration, so it fills the heap and throws OutOfMemoryError, taking down the JVM. The comment scanner (skipWhiteSpace(), lines 89-92, while (c != '\n')) pins a thread at 100% CPU with no allocation.
This is reachable with a single message. JsonRpcServer and JsonRpcClient fall back to DefaultJsonRpcMapper whenever no mapper is passed (JsonRpcServer.java:84 and :114, JsonRpcClient.java:186), and that mapper hands the raw message body straight to JSONReader.read() (DefaultJsonRpcMapper.java:42 for the server request, :52 for the client reply). A caller that can publish to the RPC request queue hangs the server; a malicious or MITM'd JSON-RPC service does the same to a client.
Proof of concept
Against amqp-client 5.36.0 from Maven Central:
import com.rabbitmq.tools.jsonrpc.DefaultJsonRpcMapper;
public class Poc {
public static void main(String[] args) {
DefaultJsonRpcMapper mapper = new DefaultJsonRpcMapper();
mapper.parse("{\"method\":\"x", String.class); // unterminated string
// mapper.par…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-106121 a été découverte dans com.rabbitmq:amqp-client.
Des attaquants peuvent cibler un point d'entrée spécifique comme CharacterIterator.DONE à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.9/10.
Action : mettez à jour com.rabbitmq:amqp-client vers 5.36.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « com.rabbitmq:amqp-client CVE-2026-106121 » sur le site de l'éditeur.
CVE-2026-106121 (com.rabbitmq:amqp-client) — CWE-835 / CVSS v3 4.9
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : CharacterIterator.DONE / StringBuilder / OutOfMemoryError / JsonRpcServer
Correctif : 5.36.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-835) affecte com.rabbitmq:amqp-client. Les attaquants atteignent le code vulnérable via CharacterIterator.DONE.
Consultez l'avis de l'éditeur pour les versions affectées de com.rabbitmq:amqp-client. Surface d'attaque : CharacterIterator.DONE / StringBuilder / OutOfMemoryError / JsonRpcServer.
Gravité : Moyenne (CVSS 4.9/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.36.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで com.rabbitmq:amqp-client を使っているサービスとバージョンを洗い出す。
-
2Apply patch patch
Upgrade com.rabbitmq:amqp-client to 5.36.1ステージング環境で 5.36.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com