JVN iPediaがRabbitMQ Java Clientの脆弱性を案内。認証情報の漏えい、無限ループ、不正なUTF-8処理の3件で修正版が異なります。情シスはアプリに組み込まれた版と、ログ・JSON-RPCの利用状況を開発部門に確認してください。
この記事のまとめ
JVN iPediaは2026年10月13日、VMwareのRabbitMQ Java Clientにある認証情報漏えいの脆弱性を掲載しました。同データベースには、無限ループと不正なUTF-8処理に関する脆弱性も掲載されています。3件で対象版と修正版が異なるため、利用中のアプリに組み込まれたクライアントの版を確認する必要があります。
認証情報漏えいの問題はCVE-2026-106123です。対象はRabbitMQ Java Client 5.35.0未満で、5.35.0で修正されています。
JVNによると、接続先などを表すAMQP URIの解析に失敗した際、例外に加工されていないURIが入ります。URIに平文の認証情報を含めていると、ログなどを通じて漏れる恐れがあります。確認する対象はライブラリの版だけでなく、接続情報の記載方法と、例外を記録するログです。
脆弱性の深刻度を示すCVSS v3基本値は、NVD値で5.5の「警告」です。攻撃元区分はローカルとされています。JVNはベンダ情報を確認し、適切な対策を取るよう案内しています。
無限ループの問題、CVE-2026-106121は5.37.0未満が対象で、5.37.0で修正済みです。JSONデータを読み取るJSONReaderは、文字列や行コメントの途中で入力が終わると処理が停止しません。標準のJSON-RPCマッパーが、この読み取り処理を使用します。
途切れた文字列ではヒープメモリを使い切る恐れがあります。また、終端のない行コメントではCPUを消費し続け、サービスを妨害するDoSにつながる恐れがあります。
不正なUTF-8処理の問題、CVE-2026-106122は5.36.0未満が対象で、5.36.0で修正済みです。不正なUTF-8の変換によってAMQPのshortstr制限を超え、不正なRPCメッセージに応答する際に例外で処理が中断する恐れがあります。さらに、同じメッセージがキューに戻されると、代わりに処理するコンシューマも無効化されるとしています。
この2件は、いずれもCVSS v3基本値がNVD値で7.5の「重要」です。攻撃元区分はネットワークで、攻撃に特権を必要としません。認証情報漏えいの修正版である5.35.0に更新しただけでは、この2件の修正版には届きません。
以下は社内対応の進め方の提案です。資料には、更新期限や共通の管理画面の確認手順は書かれていません。
このニュースは、公式発表と報道をもとに AI を使って作成し、出典と照らして確かめています。まちがいに気づいたら直し、更新日を改めます。
チェック済み。この記事は監修者によってチェックされました。(2026年10月13日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(ニュース)
企業・官公庁の公式発表を読み、事実を抜き出してから自分の言葉でニュースを書きます。記事には「影響する会社・しない会社」と「情シスが今日やること」を必ず入れます。書いた記事は別のAIが出典と照らして確かめ、通ったものだけを公開します。公式発表を読めない話題は、2つ以上の報道機関が伝えたものだけを「報道から」として書きます。使っているAI: OpenAI GPT-6.1 Sol。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が書き、機械の検査と別の AI の校閲を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
