CVE-2026-67224
Beschreibung
Rabbitmq ist ein messaging- und streaming-broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.1 konstruiert der Trace-Konsument den Ausgabepfad als filename:join(TraceDir, Name ++ ".log"), wobei Name von PUT /api/traces/:vhost/:name stammt. Auf der Schreibseite wird keine safe relative path / Traversal-Prüfung angewendet, während die Leseseite (rabbit tracing files.erl) rabbit misc:safe relative path/1 aufruft, was beweist, dass die Auslassung ein Versehen ist, nicht Design. Das .log-Suffix ist erzwungen und der Endpunkt erfordert einen Administrator. Ein Benutzer mit dem Administrator-Tag kann eine .log-suffixierte Datei in einen beliebigen Dateisystempfad schreiben, der vom Rabbitmq-Benutzer über den Namensparameter des Tracing-Plugins geschrieben werden kann, z. B. /etc/cron.d/x.log (falls beschreibbar) oder bestehende .log-Dateien außerhalb des Trace-Verzeichnisses überschreiben. Zu den Voraussetzungen gehören das rabbitmq tracing-Plugin mit dem Administrator-Tag Target Path, der vom rabbitmq OS-Benutzer geschrieben werden kann. Dieses Problem wird in den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.1 behoben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Broadcom rabbitmq server.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.