CVE-2026-67408

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Von 4.1.0 bis 4.3.3, 4.2.9 und 4.1.11 ermöglicht die Zuweisung von Stream Management Super-Stream Binding Keys die Denial of Service von Node mit geringem Privileg. rabbitMQ 4.3.1 mit aktiviertem rabbitmqstreammanagement akzeptiert PUT /api/stream/super-streams/{vhost}/{name}-Anforderungen von einem authentifizierten Verwaltungsbenutzer, der auf den Ziel-vhost zugreifen kann. Wenn der Request-Body das Binding-Keys-Feld enthält, analysiert der Handler den vom Angreifer gesteuerten Komma-getrennten String und erstellt die vollständige Stream-Namen-Liste, bevor er prüft, ob der Benutzer die Berechtigung hat, die resultierenden Streams zu konfigurieren. Ein unterprivilegierter Verwaltungsbenutzer mit vhost-Zugriff, aber ohne Konfigurations-, Schreib- oder Leseberechtigung kann daher große transiente Zuweisungen vor der Überprüfung der Ressourcenberechtigung erzwingen. In einem 768 MB speicherbegrenzten Container tötete ein HTTP-PUT mit etwa 4,5 MB JSON-Körper den RabbitMQ-Container mit Docker-Zustand true Ein authentifizierter Benutzer mit niedriger Privilegierung kann einen speicherbegrenzten RabbitMQ-Knoten mit einem HTTP töten Dieses Problem wird in den Versionen 4.3.3, 4.2.9 und 4.1.11 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.