Vulnerabilidad en RabbitMQ (CVE-2023-46120)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
25/10/2023
Última modificación:
01/11/2023
Descripción
La librería cliente Java RabbitMQ permite que las aplicaciones basadas en Java y JVM se conecten e interactúen con los nodos RabbitMQ. `maxBodyLebgth` no se usó al recibir objetos de mensaje. Los atacantes podrían enviar un mensaje muy grande provocando un desbordamiento de la memoria y desencadenando un error OOM. Los usuarios de RabbitMQ pueden sufrir ataques DoS del cliente Java RabbitMQ que, en última instancia, agotarán la memoria del consumidor. Esta vulnerabilidad fue parcheada en la versión 5.18.0.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:vmware:rabbitmq_java_client:*:*:*:*:*:*:*:* | 5.18.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/rabbitmq/rabbitmq-java-client/commit/714aae602dcae6cb4b53cadf009323ebac313cc8
- https://github.com/rabbitmq/rabbitmq-java-client/issues/1062
- https://github.com/rabbitmq/rabbitmq-java-client/releases/tag/v5.18.0
- https://github.com/rabbitmq/rabbitmq-java-client/security/advisories/GHSA-mm8h-8587-p46h