Apache Qpid Broker-J: неполная обработка свойств при конвертации AMQP 1.0 → AMQP 0-10 (CVE-2026-92608)

В брокере сообщений Apache Qpid Broker-J выявлена уязвимость, связанная с неполной обработкой свойств сообщений при конвертации между различными версиями протокола AMQP. Проблема получила идентификатор CVE-2026-92608.

Подробности

Уязвимость затрагивает Apache Qpid Broker-J в версиях по 10.1.0 включительно. Причина — некорректная обработка исключений, возникающих при кодировании свойств сообщения в ходе преобразования из формата AMQP 1.0 в AMQP 0-10. Если производитель отправляет сообщение со свойствами, которые целевой кодировщик не может обработать правильно, возникает исключительная ситуация, которая не обрабатывается должным образом. В результате аутентифицированный производитель сообщений (authenticated message producer) может нарушить доставку сообщений потребителям, работающим по протоколу AMQP 0-10. Фактически речь идёт о векторе отказа в обслуживании на уровне обработки сообщений: злоумышленник, имеющий действительные учётные данные для публикации, способен отправлять специально сформированные сообщения, срывающие доставку другим клиентам. Сведения о значении базовой оценки CVSS в записи CVE не указаны. Уязвимость не позволяет выполнить код или повысить привилегии — её воздействие ограничено нарушением доступности доставки сообщений для потребителей AMQP 0-10. Тем не менее в средах, где используется смешанная конфигурация клиентов AMQP 1.0 и AMQP 0-10, последствия могут быть ощутимыми.

Что делать

Рекомендуется обновить Apache Qpid Broker-J до версии 10.1.1, в которой уязвимость устранена. Это наиболее надёжный и полный способ закрытия проблемы. Если немедленное обновление невозможно, стоит рассмотреть временные меры:

• ограничить круг учётных записей, имеющих право публикации сообщений, и пересмотреть их права;
• по возможности унифицировать версии протокола AMQP у производителей и потребителей, чтобы исключить саму операцию конвертации 1.0 → 0-10;
• усилить мониторинг ошибок доставки и аномалий в логах брокера, чтобы своевременно выявлять подобные воздействия;
• провести аудит учётных данных производителей и отозвать неиспользуемые.

Важно понимать, что перечисленные меры являются компенсирующими и не устраняют уязвимость полностью — приоритет следует отдать установке обновления. Итог: CVE-2026-92608 — умеренно опасная уязвимость в Apache Qpid Broker-J, позволяющая аутентифицированному производителю нарушать доставку сообщений потребителям AMQP 0-10. Исправление доступно в версии 10.1.1; организациям, использующим брокер, рекомендуется как можно скорее выполнить обновление.

Источник: CVE Project (cvelistV5)