Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- RabbitMQ Java client
- Soort software
- virtualisatie
- Getroffen versies
- RabbitMQ Java client tot 5.37.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- RabbitMQ Java client 5.37.0
- CVE gepubliceerd
- 6 oktober 2026
- Gepubliceerd op LekkenRadar
- 9 oktober 2026
- Laatst gewijzigd bij NVD
- 9 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de RabbitMQ Java client, een bibliotheek waarmee Java-applicaties met RabbitMQ praten, zit een fout in de JSON-parser. Als een JSON-bericht midden in een tekst tussen aanhalingstekens of in een regelcommentaar ophoudt, stopt de parser niet. Daardoor loopt het geheugen vol of blijft een proces onbeperkt processortijd gebruiken, waardoor de applicatie vastloopt of uitvalt.
Wie loopt risico?
Je loopt risico als je applicatie een versie van de RabbitMQ Java client vóór 5.37.0 gebruikt en JSON-RPC inzet, via JsonRpcServer of voor antwoorden aan een JSON-RPC-client. Een aanvaller kan het lek via het netwerk misbruiken zonder in te loggen of iets van jou te vragen. Het gevolg is dat de dienst niet meer beschikbaar is; gegevens lekken of wijzigen niet. Er is publiek exploitmateriaal beschikbaar.
Wat moet je doen?
Ga na of je de RabbitMQ Java client gebruikt
Controleer in je projecten en afhankelijkheden welke versie van de RabbitMQ Java client je gebruikt. Versies vóór 5.37.0 zijn getroffen.
Update naar versie 5.37.0
Werk de RabbitMQ Java client bij naar versie 5.37.0, waarin dit lek is opgelost. Bouw je applicatie daarna opnieuw en zet de nieuwe versie in productie.
Controleer of je JSON-RPC gebruikt
Kijk of je applicatie JsonRpcServer of de standaard DefaultJsonRpcMapper gebruikt. Zo weet je welke onderdelen als eerste bijgewerkt moeten worden.
Beperk blootstelling tot die update er is
Kun je niet direct bijwerken, beperk dan wie berichten naar je JSON-RPC-diensten kan sturen. Volg verder het advies van de leverancier.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De methode com.rabbitmq.tools.json.JSONReader.read() stopt niet als de invoer eindigt binnen een string tussen aanhalingstekens of binnen een regelcommentaar. De scanners voor strings en witruimte controleren niet op CharacterIterator.DONE. De standaard DefaultJsonRpcMapper geeft de inhoud van JSON-RPC-berichten door aan deze parser, zowel in JsonRpcServer als bij antwoorden aan de client. Bij een afgekapte string voegt de parser steeds vervangende eindtekens toe tot het heapgeheugen op is. Bij een regelcommentaar zonder afsluitende nieuwe regel blijft een thread onbeperkt processortijd gebruiken. Het resultaat is een denial of service.
CVSS-vector (versie 3.1, basisscore 7,5, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Zwakheid (CWE)
- CWE-835 · Lus met onbereikbare exitvoorwaarde (oneindige lus)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Ja