Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - RabbitMQ Java クライアント・ライブラリを使用すると、Java および JVM ベースのアプリケーションを RabbitMQ ノードに接続して対話できます。5.34.0より前は、AMQPがframeMax値ゼロを無制限として定義し、ConnectionFactory.DEFAULT_FRAME_MAXがゼロである場合でも、AMQConnection.start()はConnection.Tuneネゴシエーションの後にMath.min(maxInboundMessageBodySize、frameMax)を適用します。クライアントのデフォルト値とサーバーネゴシエート値が両方ともゼロの場合、結果は Utils.framePayloadLimit(int) に渡されます。これは、ゼロを Integer.MAX_VALUE と解釈し、構成済みの maxInboundMessageBodySize cap を無効化します。悪意のある AMQP サーバー、または Connection.Tune を変更して接続にフレームを注入できる中間者攻撃者が、任意のフレームタイプの大き過ぎるフレームを送信する可能性があります。これにより、Frame.readFrom() がコンテンツレベルの検証の前に大きなバイト配列を割り当て、メモリ枯渇を通じてクライアントプロセスを終了させる可能性があります。この問題はバージョン 5.34.0 で修正されています。(CVE-2026-75516)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-75516

high Nessus プラグイン ID 346961

バージョン 1.1