CVE-2026-66079

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 gibt parse array primitive/2 für den Konstruktor 0x45 (list0) ein Element mit Bytebreite B = 0 zurück. Der einschließende Array32-Parser in Zeile 148 liest eine 4-Byte-Zählung aus dem Draht und Schleifen Zählen Sie mal B-Bytes verbrauchen, mit B = 0, kein Eingang wird verbraucht und die Schleife baut eine Liste von Zählen leere Elemente nur durch das 32-Bit-Feld begrenzt. Der SASL-Mechanismus / SASL-init-Rahmen wird durch amqp10 framing:decode bin/1 aus rabbit amqp reader.erl:412 analysiert, bevor die Authentifizierung abgeschlossen ist. Die pre-auth incoming max frame size (Standard 8192 Bytes) begrenzt den Rahmen, nicht das Feld Count, so dass eine 19-Byte-Nutzlast mit Count = 0xFFFFFFFF akzeptiert wird. Im Leseprozess wird keine max heap size festgelegt. Ein nicht authentifizierter Netzwerk-Angreifer kann jeden RabbitMQ-Knoten zum Absturz bringen, der den AMQP 1.0-Hörer aktiviert hat (Standard-Port 5672), indem er einen einzigen ~19-Byte-Rahmen sendet. Der Leseprozess versucht, eine Liste von ~ 4 Milliarden leeren Elementen zu erstellen, wodurch der Heap-Speicher erschöpft und die Erlang-VM beendet wird. Alle Mandanten und Protokolle auf dem Knoten verlieren den Dienst. Zu den Voraussetzungen gehören die Netzwerkerreichbarkeit für den AMQP-Hörer (Port 5672, standardmäßig aktiviert) Keine Authentifizierung erforderlich. Dieses Problem wird in den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.