CVE-2026-40971: Validação imprópria de certificado na auto-configuração RabbitMQ do Spring Boot
A auto-configuração do RabbitMQ no Spring Boot não verifica o hostname quando usa um SSL bundle para conectar ao broker, fraqueza classificada como CWE-295. A pontuação da NVD é 9.1 (crítica), enquanto as pontuações associadas ao fornecedor no registro são 5, e o aviso do fornecedor indica correções em 4.0.6 e 3.5.14. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A auto-configuração do RabbitMQ no Spring Boot não realiza verificação de hostname quando é configurada para usar um SSL bundle na conexão com o broker RabbitMQ. A fraqueza é classificada como CWE-295 (Validação Imprópria de Certificado). O aviso do fornecedor é a principal fonte para as faixas afetadas e as versões corrigidas.
Impacto
Sem a verificação de hostname, um cliente pode aceitar um certificado válido que não foi emitido para o broker com o qual está se comunicando. Pela classificação CWE, isso pode enfraquecer a proteção que o TLS normalmente oferece contra a personificação do broker. A avaliação da NVD classifica o problema como crítico, com pontuação CVSS de 9.1, enquanto as pontuações associadas ao fornecedor no registro são 5. O quanto essas pontuações se aplicam a um ambiente específico depende da exposição de rede, que o registro não descreve.
Produtos e versões afetados
- Spring Boot de 4.0.0 até 4.0.5 inclusive, corrigido em 4.0.6.
- Spring Boot de 3.5.0 até 3.5.13 inclusive, corrigido em 3.5.14.
O registro lista duas entradas de produto (Spring Spring Boot e Vmware Spring Boot) com as mesmas faixas. O campo de correções do registro está vazio, então as versões corrigidas vêm do texto da descrição, que as atribui ao aviso do fornecedor.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00301, com percentil de 0.21732, e o valor de exploração no SSVC é none.
Correção e mitigação
- Atualize o Spring Boot para 4.0.6 ou 3.5.14, conforme a linha de release em uso, como descrito no aviso do fornecedor.
- Se a atualização imediata não for possível, revise onde os SSL bundles são usados nas conexões com o RabbitMQ e restrinja essas conexões a caminhos de rede confiáveis.
- Após a atualização, confirme que a configuração continua atendendo aos requisitos de validação de certificados da organização.
Orientações de detecção
- Inventarie as aplicações que dependem do Spring Boot e identifique as que usam a auto-configuração do RabbitMQ com SSL bundle.
- Revise manifestos de build e artefatos implantados em busca de versões do Spring Boot dentro das faixas afetadas.
- Monitore a infraestrutura de mensageria em busca de alterações inesperadas em endpoints ou certificados do broker.
Limitações das informações disponíveis
O registro não descreve o caminho exato do código, condições adicionais além da configuração do SSL bundle, nem se a exploração é viável em implantações reais. O registro não traz um campo de versão corrigida, então as versões corrigidas dependem do texto da descrição. As fontes consultadas não oferecem mais detalhes sobre outras linhas de release.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-40971?
Quando configurada para usar um SSL bundle, a auto-configuração do RabbitMQ no Spring Boot não verifica o hostname ao conectar ao broker. A fraqueza é classificada como CWE-295.
Quais versões são afetadas e quais são as correções?
O registro descreve o Spring Boot de 4.0.0 até 4.0.5 inclusive, corrigido em 4.0.6, e de 3.5.0 até 3.5.13 inclusive, corrigido em 3.5.14, segundo o aviso do fornecedor.
Há exploração conhecida desta vulnerabilidade?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.