CVE-2026-67232

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.0, Die Cowboy-WebSocket-Optionen an der Linie 117 setzen komprimieren => wahr und ermöglichen RFC 7692 Permessage-Deflate-Verhandlung. Der Handler setzt nicht max frame size, so dass Cowboys Default von Infinity gilt. cowlibs cow ws:parse payload/9 ruft zlib:inflate/2 auf der komprimierten Nutzlast ohne Output-Size-Limit auf. Ein Angreifer kann während des WebSocket-Upgrades Permessage-Deflate aushandeln und einen Frame mit einer Zlib-Bombe senden (z. B. 50 KB → 5 GB). Dekomprimierung tritt im Verbindungsprozess auf, bevor websocket handle/2 jemals die MQTT-Bytes sieht. Ein nicht authentifizierter Angreifer kann einen RabbitMQ-Knoten mit dem Web-MQTT-Plugin zum Absturz bringen, indem er einen einzigen hochkomprimierten WebSocket-Rahmen (ein paar KB auf dem Draht) sendet, der sich auf Gigabyte im Speicher aufbläht. Der Cowboy WebSocket-Handler dekomprimiert den gesamten Frame, bevor das MQTT CONNECT-Paket verarbeitet wird, so dass keine Anmeldeinformationen erforderlich sind. Voraussetzungen sind rabbitmq web mqtt Plugin aktiviert (nicht standardmäßig, aber üblich für Browser-Clients) Netzwerkerreichbarkeit zum Port 15675/15676 Keine Authentifizierung erforderlich. Dieses Problem wird in den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 und 4.3.0 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.