CVE-2026-61837

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Von 4.0.0 bis 4.3.3, 4.2.9, 4.1.14 und 4.0.23 stellt die AMQP 1.0-Verwaltung GET/Bindungen die vollständige Bindungstopologie für jeden authentifizierten AMQP-Benutzer ohne Überprüfung der Ressourcen-/Verwaltungsberechtigung zur Verfügung. der AMQP 1.0 HTTP-over-AMQP-Verwaltungsendpunkt GET /bindings (der Rabbitamqpmanagement-Handler) zählt Bindungen zwischen einem beliebigen Quellaustausch und einer Zielwarteschlange / einem Zielaustausch im virtuellen Host des Anrufers auf, ohne eine Berechtigungsprüfung auf Ressourcenebene durchzuführen. Im Gegensatz zu jeder Geschwisteroperation im selben Modul (die checkresourceaccess / Bindingchecks aufruft), ignoriert der GET-Handler den authentifizierten Benutzer und gibt die Bindingliste unverändert zurück. Als Ergebnis kann jeder authentifizierte AMQP 1.0-Client, der ein Management-Link-Paar öffnen kann, einschließlich Benutzer ohne Management / Monitoring / Policymaker / Administrator-Tag, die vollständige Bindungstopologie (Quellaustausch, Zielwarteschlangen / Austausch, Routing-Schlüssel und bindende Argumente) des virtuellen Hosts aufzählen, auf den sie zugreifen können. Die entsprechende HTTP-Management-API (GET /api/bindings) Auswirkungen auf die Vertraulichkeit: Ein Nicht-Management-AMQP 1.0-Benutzer kann die vollständige Routing-Topologie jedes virtuellen Hosts, mit dem er sich verbinden kann, aufzählen (Quellaustausch, Zielwarteschlange / -austausch, Routing-Schlüssel, verbindliche Argumente). Dieses Problem wird in den Versionen 4.3.3, 4.2.9, 4.1.14 und 4.0.23 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.