CVE-2026-63337

RabbitMQ Java istemci kütüphanesi, Java ve JVM tabanlı uygulamaların RabbitMQ düğümlerine bağlanmasına ve bunlarla etkileşim kurmasına olanak tanır. 5.33.0 sürümünden önce, com.rabbitmq.tools.jsonrpc.ProcedureDescription güvenilmeyen bir system.describe yanıtında bir javaReturnType değeri alır ve bunu JSONUtil.tryFill, setJavaReturnType ve computeReturnTypeAsJavaClass üzerinden başlatma etkinleştirilmiş olarak Class.forName(javaReturnType) çağrısına geçirir. JsonRpcClient isteğini paylaşılan bir broker veya ağ müdahalesi yoluyla yanıtlayabilen bir saldırgan, kurban JVM'de zaten mevcut olan bir sınıfı seçebilir ve onun statik başlatıcısını tetikleyebilir; ayrıca JsonRpcClient.java daha sonra getReturnType çıktısını mapper.parse'e geçirir ve tür karışıklığına da yol açabilir. Başarılı bir sömürü, istemci sürecinde gizliliği, bütünlüğü ve kullanılabilirliği etkileyebilir. Bu sorun 5.33.0 sürümünde düzeltilmiştir.